Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Lazarus prende di mira gli utenti macOS

Set 29, 2022 Redazione news Malware, News, RSS 0

Una nuova variante della campagna Operation In(ter)ception utilizza come esche delle offerte di lavoro sulla piattaforma di scambio di criptovalute Crypto.com.

L’APT Lazarus, collegato al governo della Corea del Nord, ha utilizzato offerte di lavoro allettanti nei suoi attacchi almeno dal 2020, prendendo di mira anche appaltatori del settore aerospaziale e della difesa in una campagna denominata Operation Dream Job. Inizialmente diffondeva però solo malware per Windows.

Ad agosto di quest’anno i ricercatori di ESET hanno invece individuato un caso di Operation In(ter)ception di questo gruppo che utilizzava false offerte di lavoro sulla piattaforma di scambio di criptovalute Coinbase per infettare gli utenti macOS.

Negli ultimi giorni, SentinelOne ha individuato un’ulteriore variante della campagna per gli utenti Apple che utilizza come esche possibilità di lavoro sulla piattaforma concorrente Crypto.com.

Sebbene al momento non sia chiaro come il malware venga distribuito, precedenti segnalazioni suggerivano che i pirati attirassero le vittime tramite messaggi mirati su LinkedIn. Secondo SentinelOne, il dropper del primo stadio è simile a quello utilizzato nella variante Coinbase. Crea una cartella nella libreria dell’utente chiamata “WifiPreference” e scarica un sistema di persistenza.

La cartella contiene diversi altri elementi, tra cui il documento esca, Crypto.com_Job_Opportunities_2022_confidential.pdf. Il primo stadio del malware apre il PDF e carica il secondo. Lo scopo principale del quest’ultimo è estrarre ed eseguire il binario del terzo stadio, wifianalyticsagent, che opera come downloader da un server C2.

Il payload finale scaricato sul computer compromesso non è noto, poiché il server C2 responsabile dell’hosting del malware è attualmente offline. Secondo SentinelOne, In(ter)ception sta prendendo di mira, oltre agli utenti delle piattaforme di scambio di criptovalute, anche i loro dipendenti, in quello che potrebbe essere uno sforzo combinato per condurre sia spionaggio sia il furto di criptovalute.

Condividi l'articolo