Jamf Threat Labs, ana yükün geri alınma ve kalıcı hale getirilme biçimini değiştiren yeni bir PamStealer macOS kampanyasını belgeledi. Operasyon sahte bir kripto para cüzdanı sitesi ile AppleScript tabanlı bir tuzak kullanırken, yükün şifresinin çözülmesi saldırganların kontrolündeki altyapıyla iletişime bağlı.
Sunucu destekli şifre çözme statik incelemeyi sınırlandırıyor
Önceki varyantlar, şifre çözme malzemesinin daha büyük bir bölümünü ilk betiğin içine yerleştiriyordu. Jamf’a göre yeni Wavel temalı zincir, özel olarak hazırlanmış bir yardımcı program indiriyor ve yük açılmadan önce anahtar değişimini tamamlıyor. Sunucu iş birliği yapmadan analistler yalnızca ilk aşama dosyasından nihai bileşeni elde edemiyor.
Kurban, bir disk imajını açmaya ve Script Editor üzerinden bir AppleScript çalıştırmaya yönlendiriliyor. JavaScript for Automation taşıyıcısı daha sonra yürütmeyi bir kabuk sürecine aktarıyor. Kampanya, tek bir uzaktan istismar adımından ziyade kullanıcı eylemine ve güvenilir işletim sistemi araçlarının kötüye kullanılmasına dayanıyor.
Kalıcılık ve kimlik bilgisi riski etkiyi genişletiyor
Bildirilen zincir birden fazla kalıcılık mekanizması kuruyor; tarayıcı, cüzdan ve hesap bilgilerini ele geçirmeye çalışıyor. Savunma ekipleri ilk tuzağı, süreç ağacını, indirilen yardımcı programları ve ağ hedeflerini saklamalıdır; çünkü altyapı değiştikten sonra katmanlardan herhangi biri ortadan kalkabilir.
Uç nokta izleme sistemleri, Script Editor’dan kabuğa olağandışı yürütmeyi, yeni başlangıç öğelerini ve yakın zamanda kaydedilmiş altyapıdan indirilen imzasız yardımcı programları işaretlemelidir. Bu kontroller, SectechMedia’nın Türkçe güvenlik teknolojileri yayınlarında ele alınan kimlik ve uç nokta risklerini tamamlar. Kullanıcılar yazılımı yalnızca doğrulanmış üretici kanallarından kurmalı ve indirme sayfalarının sunduğu betikleri çalıştırmamalıdır.
Bir yanıt yazın