SpectralBlur, un nuevo backdoor para macOS caracterizado por primera vez por los investigadores esta semana, parece estar relacionado con el malware norcoreano que atacó a los ingenieros de blockchain el año pasado.
El malware, apodado "el primer malware de 2024" por el investigador de seguridad Patrick Wardle, de Objective-See, se subió por primera vez a VirusTotal en agosto de 2023.
El malware para macOS fue descubierto y analizado inicialmente por Greg Lesnewich, investigador principal de amenazas de Proofpoint, quien compartió sus hallazgos en su blog personal el 3 de enero. Wardle realizó posteriormente un análisis más profundo de la muestra SpectralBlur, publicado por Objective-See el 4 de enero.
Un nuevo malware para macOS utiliza un método único para ejecutar comandos desde un servidor remoto
Según Lesnewich, SpectralBlur presenta muchas de las características habituales de un malware de puerta trasera, incluida la capacidad de cargar, descargar y eliminar archivos, ejecutar shells y actualizar su configuración. Realiza estas tareas ejecutando comandos desde un servidor remoto de mando y control (C2), y sus comunicaciones con el servidor están cifradas con Rivest Cipher 4 (RC4).
Uno de los aspectos más singulares de SpectralBlur fue señalado por el investigador de amenazas de SentinelOne Phil Stokes, quien escribió en X: "[SpectralBlur] Utiliza grantpt para configurar una pseudo-terminal. No lo había visto antes".
Wardle también descubrió en su análisis el uso de pseudoterminales para ejecutar comandos shell de forma remota. Sospecha que esto forma parte de las tácticas de ocultación de SpectralBlur, que también incluyen cifrar su comunicación con el servidor C2, borrar el contenido de sus propios archivos sobrescribiéndolos con ceros y bifurcarse en varias instancias.
SpectralBlur es similar a KANDYKORN, del grupo Lazarus
Ingenieros de Blockchain fueron objetivo de hackers norcoreanos el pasado noviembre en una campaña para propagar el troyano de acceso remoto KANDYKORN. Elastic Security Labs descubrió la campaña, atribuyéndola a actores patrocinados por el Estado vinculados al Grupo Lazarus.
Lesnewich utilizó el servicio de búsqueda retroactiva de VirusTotal para buscar cadenas similares en otras muestras de malware e identificó solapamientos entre SpectralBlur y KANDYKORN, afirmando que ambos "parecen familias desarrolladas por diferentes personas con el mismo tipo de requisitos".
Por ejemplo, KANDYKORN también envuelve sus comunicaciones en cifrado RC4 y tiene muchas de las mismas capacidades de puerta trasera de gestión de archivos y autoconfiguración. Sin embargo, SpectralBlur incluye muchas de sus propias cadenas exclusivas, así como el inusual método de pseudoterminales.
Wardle señala que SpectralBlur, originalmente subido por un usuario en Colombia, aún no está marcado como malicioso por ninguno de los motores antivirus agregados por VirusTotal.
Todavía está por ver si el "primer malware de 2024" está siendo utilizado por actores de los estados-nación norcoreanos de forma similar a KANDYKORN, que también ha sido detectado en campañas de técnicas mixtas dirigidas a macOS.
Fuente: scmagazine.com