Final Cut Pro lậu lây nhiễm máy Mac của bạn bằng phần mềm độc hại khai thác tiền điện tử

Các nhà nghiên cứu bảo mật đã phát hiện ra một hoạt động khai thác tiền điện tử nhắm mục tiêu vào macOS bằng phiên bản độc hại của Final Cut Pro mà hầu như không bị các công cụ chống vi-rút phát hiện.

Họ phát hiện ra rằng biến thể độc hại đã được phân phối qua torrent và thực thi tiện ích XMRig để khai thác tiền điện tử Monero.

Sự phát triển của mối đe dọa macOS

Nhóm Jamf Threat Labs đã tìm thấy mối đe dọa macOS cụ thể này và theo dõi nó tới các torrent độc hại được chia sẻ trên The Pirate Bay bởi một người dùng có tên wtfisthat34698409672 .

Có vẻ như người dùng đã tải lên các ứng dụng macOS khác như Adobe Photoshop và Logic Pro X kể từ năm 2019, tất cả chúng đều chứa tải trọng để khai thác tiền điện tử.

Phân tích sâu hơn khiến các nhà nghiên cứu kết luận rằng phần mềm độc hại đã trải qua ba giai đoạn phát triển chính, mỗi giai đoạn đều bổ sung thêm các kỹ thuật trốn tránh phức tạp hơn.

Ba thế hệ của phần mềm độc hại macOS 

Đáng chú ý là các công cụ bảo mật ngày nay chỉ phát hiện một cách nhất quán thế hệ đầu tiên của mối đe dọa đã ngừng lưu hành vào tháng 4 năm 2021.

Từ thế hệ đầu tiên, phần mềm độc hại đã sử dụng lớp mạng i2p (Dự án Internet vô hình) để liên lạc chỉ huy và kiểm soát (C2) nhằm ẩn danh lưu lượng truy cập. Tính năng này tồn tại trên tất cả các phiên bản của phần mềm độc hại.

Sơ đồ chuỗi lây nhiễm

Thế hệ thứ hai của phần mềm độc hại xuất hiện tương đối ngắn trong khoảng thời gian từ tháng 4 năm 2021 đến tháng 10 năm 2021, có tính năng mã hóa cơ sở 64 cho các tệp thực thi ẩn trong gói ứng dụng.

Các đốm màu và lệnh shell được mã hóa Base64 trong tệp thực thi

Thế hệ thứ ba và hiện tại xuất hiện vào tháng 10 năm 2021. Bắt đầu từ tháng 5 năm 2022, nó trở thành biến thể duy nhất được phân phối trong tự nhiên. Một tính năng mới của biến thể này là nó có thể ngụy trang các quy trình độc hại của nó thành các quy trình hệ thống trên Spotlight để tránh bị phát hiện.

Hơn nữa, phiên bản mới nhất kết hợp một tập lệnh liên tục kiểm tra Trình giám sát hoạt động và nếu nó được khởi chạy, nó sẽ ngay lập tức chấm dứt tất cả các quy trình của nó để ẩn khỏi sự kiểm tra của người dùng.

Kịch bản giám sát chống hoạt động

Phiên bản mới nhất của macOS, có tên mã là “Ventura”, giới thiệu các biện pháp kiểm tra chữ ký mã nghiêm ngặt hơn có nguy cơ khiến việc ẩn và khởi chạy phần mềm độc hại từ bên trong các ứng dụng do người dùng khởi chạy, đặc biệt là những ứng dụng vi phạm bản quyền, trở nên vô hiệu.

Trong trường hợp này, những tên cướp biển chỉ sửa đổi một phần Final Cut Pro, giữ nguyên chứng chỉ ký mã ban đầu. Tuy nhiên, Ventura vẫn vô hiệu hóa nó vì phát hiện có sự sửa đổi trong nội dung phần mềm.

Tuy nhiên, điều này chỉ ngăn ứng dụng hợp pháp chạy chứ không phải công cụ khai thác tiền điện tử, vì vậy hệ thống bảo mật mới của Apple vẫn còn một số cách để bảo vệ người dùng một cách hiệu quả.

Tóm lại, khuyến nghị là tránh tải xuống phần mềm vi phạm bản quyền từ các mạng ngang hàng, vì chúng hầu như luôn chứa phần mềm độc hại hoặc phần mềm quảng cáo.

Mời quý khách đặt trước (trả sau) để nv tiện gọi lại tư vấn bằng livestream cụ thể cho khách chụp màn hình để đồng kiểm. Công Tắc Công Suất Cao Tuya Wifi 20a Lắp Bình Nóng Lạnh mua ở đây sẽ được bảo hành 36 tháng + bh mở rộng, bh rơi vở vô nước chạm cháy tại trungtambaohanh.com, phục vụ 24/7 tại nhà nhằm đảm bảo tối đa tính an toàn riêng tư dữ liệu cho người dùng, chỉ cần đặt hàng trước 24h quý khách được tặng gói bảo hiểm phần cứng và phần mềm.