查看: 1296|回复: 2
收起左侧

[IT业界] 2021年恶意软件AdLoad绕过了苹果XProtect的防护

[复制链接]
朦胧的风
发表于 2021-9-2 15:43:15 | 显示全部楼层 |阅读模式
AdLoad是一个著名的苹果攻击软件,已经出现了很多年。它本质上就是一个特洛伊木马,它会在受感染的系统上打开一个后门,下载和安装广告软件或客户所不需要的程序(PUPs)。

29bb59305eeca36811f84571d5f3a84e.jpg

研究人员说,MacOS设备中的AdLoad恶意软件绕过了苹果设备上的恶意软件扫描器。该攻击活动使用了大约150个独特的样本,其中一些是由苹果公司的公证服务签署的。

AdLoad是一个著名的苹果攻击软件,已经出现了很多年。它本质上就是一个特洛伊木马,它会在受感染的系统上打开一个后门,下载和安装广告软件或客户所不需要的程序(PUPs)。它还能够收集和传输受害者的机器信息,如用户名和计算机名称。它还会劫持搜索引擎的搜索结果,并在网页中注入大量广告。

该软件最近改变了攻击战术,更新了一个新的功能来逃避主机上的安全软件。

SentinelOne公司的研究员Phil Stokes在周三的一篇文章中说:"今年我们发现了该软件的一个新的版本,可以感染那些仅仅使用苹果内置安全控件XProtect检测恶意软件的Mac用户。Xprotect标记了AdLoad大约11个不同的签名,但在此次新的攻击活动中使用的变体却没有被这些规则检测到。”

AdLoad感染程序

2021年的AdLoad变种出现了一种新的感染方法。首先,根据斯托克斯的技术分析,它们在用户的Library LaunchAgents文件夹中安装一个.system或.service文件扩展名的持久性代{过}{滤}理,然后才开始它们的攻击。

当用户登录时,该持久性代{过}{滤}理会执行一个隐藏在同一用户的~/Library/Application Support/文件夹中的二进制文件。然而Application Support中的那个文件夹又包含了另一个名为/Services/的目录。

该捆绑文件会包含一个具有相同名称的可执行文件。斯托克斯说,还有一个名为.logg的隐藏跟踪文件,其中包含了受害者的通用唯一标识符(UUID),它也包含在Application Support文件夹中。

他指出,这些程序是被混淆加密的Zsh脚本,在攻击的最后从/tmp目录中执行恶意软件(一个shell脚本)之前,会进行一系列的解包。其中许多是经过签名或公证的。

斯托克斯说:"通常情况下,我们会观察到,在VirusTotal上观察到样本的几天内(有时是几小时),用于签署droppers的开发者证书会被苹果公司撤销,然后苹果公司会通过Gatekeeper和OCSP签名检查,来提供一些临时的保护,防止这些特定的签名样本进一步感染,另外,我们通常看到在几小时或几天内就会出现用新证书签名的新样本。真的,这就像是玩打地鼠游戏"。

在任何情况下,最终的有效载荷并不为当前版本的苹果XProtect v2149所知。

利用苹果的XProtect的漏洞

SentinelLabs的研究人员观察到最新的AdLoader样本早在去年11月就开始在攻击活动中使用,但直到今年夏天,特别是7月和8月,攻击的样本数量才开始急剧上升。

斯托克斯说:"当然,恶意软件开发者似乎在大量利用XProtect的漏洞进行攻击,在撰写本报告时,XProtect最后一次更新到2149版本是在6月15-18日左右,该恶意软件在VirusTotal的检测率的确很高。一个著名的广告软件变体的数百个独特样本已经流通了至少10个月,但仍未被苹果公司的内置恶意软件扫描器检测到,这一事实表明在Mac设备上很有必要进一步增加终端的安全控制。"

本文翻译自:https://threatpost.com/adload-malware-apple-xprotect/168634/如若转载,请注明原文地址。


评分

参与人数 1分享 +2 收起 理由
屁颠屁颠 + 2 版区有你更精彩: )

查看全部评分

cfdiyr
发表于 2021-9-3 02:03:03 | 显示全部楼层
看见了。知道了。反正我没有水果的产品。
aiping
头像被屏蔽
发表于 2021-9-4 21:08:51 来自手机 | 显示全部楼层
不知道对我的诺基亚直板手机有没有影响
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2024-11-25 00:31 , Processed in 0.126904 second(s), 20 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究,不得将上述内容用于商业或者其他非法用途,否则产生的一切后果自负,本站信息来自网络,版权争议问题与本站无关,您必须在下载后的24小时之内从您的电脑中彻底删除上述信息,如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表