Des chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert une nouvelle souche de malware macOS baptis\u00e9e TodoSwift qui, selon eux, pr\u00e9sente des points communs avec des logiciels malveillants connus utilis\u00e9s par des groupes de pirates informatiques nord-cor\u00e9ens.<\/p>\n
\u00ab Cette application partage plusieurs comportements avec les logiciels malveillants que nous avons vus et qui proviennent de Cor\u00e9e du Nord (RPDC) \u2014 en particulier l’acteur malveillant connu sous le nom de BlueNoroff \u2014 tels que KANDYKORN et RustBucket \u00bb, a d\u00e9clar\u00e9 Christopher Lopez, chercheur en s\u00e9curit\u00e9 \u00e0 Kandji. dit<\/a> dans une analyse.<\/p>\n RustBucket, qui est apparu pour la premi\u00e8re fois en juillet 2023, fait r\u00e9f\u00e9rence \u00e0 une porte d\u00e9rob\u00e9e bas\u00e9e sur AppleScript capable de r\u00e9cup\u00e9rer les charges utiles de l’\u00e9tape suivante \u00e0 partir d’un serveur de commande et de contr\u00f4le (C2).<\/p>\n \u00c0 la fin de l\u2019ann\u00e9e derni\u00e8re, Elastic Security Labs a \u00e9galement d\u00e9couvert un autre malware macOS appel\u00e9 KANDYKORN qui a \u00e9t\u00e9 d\u00e9ploy\u00e9 dans le cadre d\u2019une cyberattaque ciblant les ing\u00e9nieurs blockchain d\u2019une plateforme d\u2019\u00e9change de crypto-monnaie anonyme.<\/p>\n Transmis par le biais d’une cha\u00eene d’infection sophistiqu\u00e9e \u00e0 plusieurs \u00e9tapes, KANDYKORN poss\u00e8de la capacit\u00e9 d’acc\u00e9der aux donn\u00e9es de l’ordinateur d’une victime et de les exfiltrer. Il est \u00e9galement con\u00e7u pour mettre fin \u00e0 des processus arbitraires et ex\u00e9cuter des commandes sur l’h\u00f4te.<\/p>\n Un trait commun qui relie les deux familles de logiciels malveillants r\u00e9side dans l’utilisation de linkpc[.]net \u00e0 des fins de C2. RustBucket et KANDYKORN sont tous deux consid\u00e9r\u00e9s comme \u00e9tant le travail d’une \u00e9quipe de hackers appel\u00e9e Lazarus Group (et son sous-groupe connu sous le nom de BlueNoroff).<\/p>\n \u00ab La RPDC, via des unit\u00e9s comme le groupe Lazarus, continue de cibler les entreprises de l’industrie de la crypto-monnaie dans le but de voler des crypto-monnaies afin de contourner les sanctions internationales qui entravent la croissance de leur \u00e9conomie et de leurs ambitions \u00bb, avait d\u00e9clar\u00e9 Elastic \u00e0 l’\u00e9poque.<\/p>\n \u00ab Dans cette intrusion, ils ont cibl\u00e9 des ing\u00e9nieurs blockchain actifs sur un serveur de chat public avec un leurre con\u00e7u pour parler de leurs comp\u00e9tences et de leurs int\u00e9r\u00eats, avec la promesse sous-jacente d’un gain financier. \u00bb<\/p>\n Les derni\u00e8res d\u00e9couvertes de la plateforme de gestion et de s\u00e9curit\u00e9 des appareils Apple montrent que TodoSwift est distribu\u00e9 sous la forme d’un fichier sign\u00e9 nomm\u00e9 TodoTasks, qui se compose d’un composant dropper.<\/p>\n Ce module est une application GUI \u00e9crite en SwiftUI con\u00e7ue pour afficher un document PDF militaris\u00e9 \u00e0 la victime, tout en t\u00e9l\u00e9chargeant et en ex\u00e9cutant secr\u00e8tement un binaire de deuxi\u00e8me \u00e9tape, une technique \u00e9galement utilis\u00e9e dans RustBucket.<\/p>\n Le PDF leurre est un document inoffensif li\u00e9 au Bitcoin h\u00e9berg\u00e9 sur Google Drive, tandis que la charge utile malveillante est r\u00e9cup\u00e9r\u00e9e \u00e0 partir d’un domaine contr\u00f4l\u00e9 par un acteur (\u00ab buy2x[.]com”). Une enqu\u00eate plus approfondie sur les sp\u00e9cificit\u00e9s exactes du binaire reste en cours.<\/p>\n \u00ab L’utilisation d’une URL Google Drive et la transmission de l’URL C2 comme argument de lancement au binaire de l’\u00e9tape 2 sont coh\u00e9rentes avec les pr\u00e9c\u00e9dents malwares de la RPDC affectant les syst\u00e8mes macOS \u00bb, a d\u00e9clar\u00e9 Lopez.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Le-nouveau-malware-macOS-TodoSwift-lie-a-des-groupes-de.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n