キャンディコーン: macOS が新たな高度なマルウェアの標的に

最近のサイバーセキュリティの暴露では, 朝鮮民主主義人民共和国出身の国家支援の脅威アクター (北朝鮮) 未公開の暗号通貨交換プラットフォームに関連するブロックチェーンエンジニアをターゲットにしていることが確認されています.

Lazarus Group の Mac マルウェアの進化

襲撃者たち, にリンク 悪名高いラザロ・グループ, 洗練された macOS を導入 マルウェア キャンディコーンという名前, 新しいレベルのサイバー脅威の洗練を紹介.

攻撃者たち, 戦略的転換を示す, パブリック Discord サーバーを介してターゲットに侵入, ブロックチェーンエンジニアになりすます. ソーシャルエンジニアリング戦術の採用, 被害者は、一見無害に見える ZIP アーカイブをダウンロードして実行するよう誘導されました。, 悪意のあるペイロードを隠蔽する.

セキュリティ研究者のリカルド・ウングレアヌ, セス・グッドウィン, そしてアンドリュー・ピーズ氏は攻撃の複雑さを詳しく説明した, 脅威アクターが Python アプリケーションを使用して被害者を誘惑したことが明らかになりました, 複数の複雑な段階を経て最終的に環境に侵入する, それぞれが意図的な防御回避テクニックを使用しています.

Lazarus GroupによるmacOSマルウェアへの進出はこれが初めてではない. 以前の攻撃にはバックドア化された PDF アプリケーションが関与していました, RustBucket のデプロイメントにつながる, AppleScript ベースのバックドア. 新しいキャンペーン, でも, 洗練された技術と革新的なソーシャル エンジニアリング アプローチを融合することで、他との差別化を図ります。.

KANDYKORN マルウェアが明らかに

先進的なインプラントとして説明されている, 幅広い機能を誇るKANDYKORN, 監視も含めて, 交流, 検出回避. 反射荷重の利用, ダイレクトメモリ実行フォーム, 従来の検出方法を巧みに回避します, そのとらえどころのない性質の一因となっている.

マルウェアの配信には複数段階のプロセスが含まれます, Python スクリプトによって開始される, “ウォッチャー.py,” Google ドライブから後続のスクリプトを取得します. 最終的なペイロード, キャンディコーン, メモリ内で実行される, 従来のサイバーセキュリティ対策に挑戦する高度なレベルを示す.

研究者らは、北朝鮮は次のことを強調している。, 特にLazarus Groupのようなユニットを通じて, 暗号通貨業界をターゲットにすることに引き続き取り組んでいます. 彼らの主な目的は暗号通貨を盗むことです, 経済成長と野心を妨げる国際制裁を回避する.

結論

サイバー脅威が進化するにつれて, 国家支援の主体が交差する, 高度なマルウェア, そしてソーシャル エンジニアリングは、サイバーセキュリティ コミュニティにとって手ごわい課題です。. キャンディコーンの暴露は、絶え間ない警戒の必要性を強調する, 適応的防御メカニズム, デジタル領域でますます巧妙化する悪意のある行為者から保護するための国際協力.