M1 Macs被其他恶意软件作为目标,确切的威胁仍然是个谜

安全公司Red Canary发现了第二种已知的恶意软件,该恶意软件已被编译为在M1 Mac上本地运行。

get-363

命名为“ Silver Sparrow”的恶意程序包据说利用了macOS Installer JavaScript API执行可疑命令。但是,在观察恶意软件一周之后,Red Canary及其研究合作伙伴都没有观察到最终的有效负载,因此,该恶意软件构成的确切威胁仍然是个谜。

尽管如此,Red Canary说该恶意软件可能是“相当严重的威胁”:

尽管我们尚未观察到Silver Sparrow可以提供其他恶意有效负载,但是其前瞻性的M1芯片兼容性,全球覆盖范围,相对较高的感染率以及操作成熟度表明Silver Sparrow是一个相当严重的威胁,具有独特的定位,可以提供可能产生影响的有效负载马上通知。

根据Malwarebytes提供的数据,截至2月17日,“ Silver Sparrow”已经感染了153个国家的29,139个macOS系统,其中包括“在美国,英国,加拿大,法国和德国的大量检测”。Red Canary没有指定这些系统中有多少是M1 Macs(如果有)。

鉴于“ Silver Sparrow”二进制文件“似乎还没有做得那么多”,Red Canary将它们称为“旁观者二进制文件”。当在基于Intel的Mac上执行时,该恶意软件包仅显示带有“ Hello,World!”的空白窗口。消息,而苹果硅二进制文件导致显示“您做到了!”的红色窗口。

get-387

Red Canary共享了用于检测多种macOS威胁的方法,但是这些步骤并非特定于检测“ Silver Sparrow”:

-查找包含PlistBuddy并与包含以下内容的命令行一起执行的进程:LaunchAgents,RunAtLoad和true。这种分析有助于我们找到多个建立LaunchAgent持久性的macOS恶意软件家族。
-查找
包含sqlite3的进程,并与包含LSQuarantine的命令行一起执行。这种分析有助于我们找到操纵或搜索下载文件的元数据的多个macOS恶意软件家族。
-寻找一个看起来像curl的进程,并与包含s3.amazonaws.com的命令行一起执行。此分析有助于我们使用S3存储桶进行分发来找到多个macOS恶意软件家族。

 

原创文章,作者:校长,如若转载,请注明出处:https://www.yundongfang.com/Yun39121.html

(0)
打赏 微信扫一扫不于多少! 微信扫一扫不于多少! 支付宝扫一扫礼轻情意重 支付宝扫一扫礼轻情意重
上一篇 2021年2月21日 上午10:29
下一篇 2021年2月22日 上午6:52

相关推荐