安全研究人員發(fā)現(xiàn)，有黑客一直在使用一種名為NimDoor的新macOS惡意軟件系列，以web3和加密貨幣組織為目標(biāo)。分析有效載荷的研究人員發(fā)現(xiàn)，攻擊者依賴于不尋常的技術(shù)和以前未見過的基于信號的持久性機(jī)制。

該攻擊鏈包括通過Telegram聯(lián)系受害者，引誘他們運(yùn)行假的Zoom SDK更新，通過Calendly和電子郵件發(fā)送，類似于最近與BlueNoroff關(guān)聯(lián)的一個(gè)由Huntress管理的安全平臺。

高級macOS惡意軟件

網(wǎng)絡(luò)安全公司SentinelOne的研究人員表示，黑客在macOS上使用C++和NimDoor編譯的二進(jìn)制文件（統(tǒng)稱為NimDoor），這“是一種更不尋常的選擇”。

其中一個(gè)由nimm編譯的二進(jìn)制文件——‘installer’，負(fù)責(zé)初始設(shè)置和分級，準(zhǔn)備目錄和配置路徑。它還會將另外兩個(gè)二進(jìn)制文件“GoogIe LLC”和“CoreKitAgent”放入受害者的系統(tǒng)中。

GoogIe LLC接管收集環(huán)境數(shù)據(jù)并生成十六進(jìn)制編碼的配置文件，將其寫入臨時(shí)路徑。它為持久性設(shè)置了macOS LaunchAgent (com.google.update.plist)，它在登錄時(shí)重新啟動GoogIe LLC，并為以后的階段存儲身份驗(yàn)證密鑰。

攻擊中使用的最先進(jìn)的組件是CoreKitAgent，這是NimDoor框架的主要有效載荷，它作為事件驅(qū)動的二進(jìn)制文件運(yùn)行，使用macOS的kqueue機(jī)制來異步管理執(zhí)行。

它實(shí)現(xiàn)了一個(gè)帶有硬編碼狀態(tài)轉(zhuǎn)換表的10例狀態(tài)機(jī)，允許基于運(yùn)行時(shí)條件的靈活控制流。最顯著的特性是它基于信號的持久性機(jī)制，它為SIGINT和SIGTERM安裝自定義處理程序。

為SIGINT和SIGTERM注冊自定義信號處理程序

這些信號通常用于終止進(jìn)程，但是當(dāng)其中任何一個(gè)被捕獲時(shí)，CoreKitAgent會觸發(fā)一個(gè)重新安裝例程，重新部署GoogIe LLC，恢復(fù)持久鏈。

當(dāng)觸發(fā)時(shí)，CoreKitAgent捕獲這些信號并寫入LaunchAgent用于持久化，GoogIe LLC的副本作為加載器，以及自身的副本作為木馬，通過addExecutionPermissions_user95startup95mainZutils_u32函數(shù)設(shè)置后兩者的可執(zhí)行權(quán)限。這種行為確保了任何用戶發(fā)起的惡意軟件終止都會導(dǎo)致核心組件的部署，使代碼能夠抵御基本的防御行動。

當(dāng)進(jìn)程終止時(shí)將惡意軟件組件寫回磁盤

CoreKitAgent解碼并運(yùn)行十六進(jìn)制編碼的AppleScript，該AppleScript每30秒向攻擊者基礎(chǔ)設(shè)施發(fā)出信標(biāo)，泄露系統(tǒng)數(shù)據(jù)，并通過osascript執(zhí)行遠(yuǎn)程命令，提供輕量級后門。

與NimDoor執(zhí)行并行，zoom_sdk_support.scpt觸發(fā)涉及trojan1_arm64的第二個(gè)注入鏈，它啟動基于wss的C2通信并下載兩個(gè)腳本（upl和tlgrm），以促進(jìn)數(shù)據(jù)盜竊。

在“zoom_sdk_support. conf”的情況下，在Scpt的加載器中，研究人員注意到它包含超過10000行用于混淆目的的空白行。

Upl從web瀏覽器中提取數(shù)據(jù)，抓取Keychain，.bash_history和.zsh_history，并使用curl將其泄露到dataupload[.]store。Tlgrm專注于竊取Telegram數(shù)據(jù)庫和. tempkeyencrypted，很可能使用它們來解密目標(biāo)在平臺上交換的消息。

針對Telegram數(shù)據(jù)的tlgrm腳本

總的來說，NimDoor框架和SentinelLABS分析的其他后門是與朝鮮威脅者有關(guān)的最復(fù)雜的macOS惡意軟件家族。

該惡意軟件的模塊化使其具有靈活性，并且使用了新的技術(shù)，如基于信號的持久性，這表明朝鮮網(wǎng)安人員正在發(fā)展他們的工具包以擴(kuò)展其跨平臺能力。

參考及來源：https://www.bleepingcomputer.com/news/security/nimdoor-crypto-theft-macos-malware-revives-itself-when-killed/