Deepfake per distribuire malware su macOS: la nuova minaccia nord-coreana

Secondo una recente analisi di Huntress, BlueNoroff, un gruppo di hacker nord-coreano, sarebbe il responsabile di una campagna basata su deepfake volta a distribuire malware sui sistemi macOS.

L’individuazione della campagna è avvenuta in seguito a una segnalazione di un partner riguardo un’estensione Zoom malevola installata da un dipendente. Analizzando la situazione, il team di Huntress ha scoperto che l’utente era stato contattato su Telegram da un contatto esterno all’organizzazione; nel messaggio, gli si chiedeva di organizzare un meeting per motivi aziendali.

Il link era apparentemente per una riunione Google Meet, ma una volta cliccato rimandava a un dominio Zoom controllato dagli attaccanti. Entrando nel meeting ci si trovava di fronte i deepfake di diversi leader aziendali, insieme ad altre figure esterne. Durante l’incontro, il dipendente si trovava col microfono non funzionante; i deepfake a quel punto gli dicevano che, per usarlo, avrebbe dovuto scaricare un’estensione Zoom tramite Telegram, la quale portava poi a scaricare il malware per macOS.

Nel dettaglio, l’estensione scaricata era in realtà un AppleScript che scaricava un payload un sito web controllato dal gruppo. Il payload eseguiva a sua volta uno script che disabilitava il logging della bash e verificava la presenza di Rosetta 2 per poter eseguire i binari x86_64. Lo script si occupava inoltre di scaricare altri payload malevoli.

Nonostante gli attaccanti abbiano eliminato il payload principale del malware dal proprio dominio durante l’analisi, il team di Huntress è riuscito a individuare 8 binari malevoli sulla macchina della vittima:

• Telegram 2, responsabile dell’esecuzione della backdoor primaria;
• Root Troy V4, un’altra backdoor usata per scaricare gli altri payload ed eseguirli;
• InjectWithDyld, un loader che esegue un’applicazione Swift e un altro malware in grado di eseguire comandi;
• XScreen, un keylogger;
• CryptoBot, un infostealer che cerca e raccoglie file relativi alle criptovalute;
• NetChk, un binario quasi vuoto che genera numeri casuali all’infinito.

“Storicamente, macOS è sempre stato considerato un obiettivo minore rispetto alla sua controparte Windows. Insieme all’idea che “i Mac non prendono virus” che di è diffusa negli ultimi due decenni, sono spesso considerati “non bisognosi di protezione”” ha affermato il team di Huntress. “A causa di questa visione, è comprensibile che si arrivi ad attacchi più mirati. Negli ultimi anni, abbiamo visto macOS diventare un bersaglio più significativo per gli attaccanti, soprattutto per quanto riguarda i gruppi altamente sofisticati e sponsorizzati dallo Stato“.

Questi attacchi sono destinati a crescere in complessità e numero: per questo è essenziale aumentare la protezione dei sistemi. Al fine di proteggere i sistemi macOS è essenziale, nel caso di minacce deepfake, istruire i propri dipendenti sui pericoli del phishing, aiutandoli a individuare le comunicazioni sospette. Altri indicatori di possibile tentativo di phishing è anche l’improvvisa modifica della piattaforma di meeting, specie se all’ultimo minuto, o la richiesta di installare estensioni o plugin.