Криптомайнер скрытно паразитировал на macOS более пяти лет
На протяжении более пяти лет компьютеры с macOS без ведома их владельцев использовались мошенниками для майнинга криптовалюты. Редко используемый хакерами прием позволил их программе долгое время избегать обнаружения.
Специализирующаяся на услугах информационной безопасности фирма SentinelOne в отчете, опубликованном на этой неделе, сообщила, что вредоносное ПО, получившее название OSAMiner, появилось в сети не позднее 2015 года. Оно распространялось, замаскированным в пиратских (взломанных) играх и почих программных продуктах, включая League of Legends и Microsoft Office for Mac.
По имеющимся данным, географически OSAMiner главным образом ориентирован на Китай и Азиатско-Тихоокеанский регион. Его активность там не осталась полностью незамеченной: в августе и сентябре 2018 года две китайские фирмы обнаружили и проанализировали старые версии OSAMiner. Но их доклады не давали полного представления о возможностях OSAMiner, заявил Фил Стоукс (Phil Stokes), исследователь вредоносного ПО для macOS из SentinelOne.
Китайским исследователям даже не удалось получить для изучения полный код OSAMiner, так как программа извлекает свой вредоносный код на разных этапах с помощью вложенных друг в друга файлов AppleScript, предназначенных только для выполнения (run-only).
Установщики, скрытые в пиратском ПО, загружали и запускали run-only скрипт, который, в свою очередь, загружал и запускал другой AppleScript, тоже предназначенный только для выполнения, а тот загружал финальный run-only сценарий.
Так как run-only сценарии AppleScript загружаются уже в скомпилированном виде, их код нечитаем для человека, что затрудняет анализ его безопасности.
Стоукс и команда SentinelOne надеются, что, публикация ими полной цепочки этой атаки, а также индикаторов взлома (IOC) для старых и новых версий OSAMiner, поможет поставщикам средств обеспечения безопасности macOS обнаруживать такие атаки и защищать от них пользователей macOS.
