Північнокорейські зловмисники атакують системи macOS з використанням шкідливих програм, створених за допомогою Flutter, які оминають перевірку безпеки Apple. Назви програм пов’язані з темою криптовалют.
Північнокорейські зловмисники атакують системи macOS з використанням шкідливих програм, створених за допомогою Flutter, які оминають перевірку безпеки Apple. Назви програм пов’язані з темою криптовалют.
У листопада 2024 року дослідників Jamf Threat Labs виявили на VirusTotal кілька додатків, які здавалися абсолютно нешкідливими для всіх антивірусних сканерів, але демонстрували функціональність «першої стадії», підключаючись до серверів, пов’язаних з північнокорейськими хакерами, пише BleepingComputer.
Усі програми створено для macOS із використанням фреймворку Google Flutter, який дає змогу розробникам створювати власно скомпільовані програми для різних операційних систем, використовуючи єдину кодову базу, написану мовою програмування Dart.
Такий підхід не тільки надає авторам шкідливого програмного забезпечення універсальність, але й ускладнює виявлення шкідливого коду, оскільки він вбудовується в динамічну бібліотеку (dylib), яка завантажується Flutter під час виконання.
П’ять із шести виявлених Jamf шкідливих додатків були підписані з використанням легітимного ідентифікатора розробника, а шкідливе програмне забезпечення пройшло нотаріальне завірення, що означає, що додатки були проскановані автоматизованими системами Apple і визнані безпечними.
Jamf також виявив варіанти на основі Golang і Python під назвою New Era for Stablecoins and DeFi, CeFi (Protected).app та Runner.app, причому останній представлений як проста програма Notepad.
На думку Jamf, кампанія більше схожа на експеримент з обходу безпеки macOS, ніж на повноцінну та цілеспрямовану операцію. І ця схема не працюватиме на оновлених системах.
