針對(duì)MacOS用戶(hù)的新型Tarmac惡意軟件

安全研究人員發(fā)現(xiàn)了一種新的Mac惡意軟件。然而，它的某些目的和全部功能仍將是一個(gè)謎。這種新的惡意軟件名為T(mén)armac(OSX / Tarmac)，通過(guò)在線(xiàn)惡意廣告(惡意廣告)活動(dòng)分發(fā)給macOS用戶(hù)。

這些惡意廣告在Mac用戶(hù)的瀏覽器中運(yùn)行惡意代碼，將可能的受害者重定向到顯示兜售軟件更新的彈出窗口的站點(diǎn)-通常是Adobe的Flash Player。

死于此技巧并下載Flash Player更新的受害者最終將在其系統(tǒng)上安裝惡意軟件二人組-首先是OSX / Shlayer惡意軟件，然后是第一個(gè)啟動(dòng)的OSX / Tarmac。

自2019年1月起分發(fā)

Confiant的安全研究人員Taha Karim表示，這次分發(fā)Shlayer + Tarmac組合的惡意活動(dòng)始于今年1月。

Confiant 當(dāng)時(shí)發(fā)布了一份有關(guān)2019年1月惡意廣告活動(dòng)的報(bào)告 ; 但是，他們只發(fā)現(xiàn)了Shlayer惡意軟件，而沒(méi)有發(fā)現(xiàn)Tarmac。

但是在兩周前發(fā)布的一份后續(xù)報(bào)告中，Confiant深入研究了-仍在進(jìn)行中-惡意廣告活動(dòng)及其有效載荷。

Karim就是這樣找到Tarmac的，這是最初的Shlayer感染的第二階段有效載荷。但是，研究人員確定的Tarmac版本相對(duì)較舊，并且該惡意軟件的原始命令和控制服務(wù)器已關(guān)閉-或很可能已移至新位置。由于Karim無(wú)法完全了解Tarmac的運(yùn)作方式，因此此分析受到阻礙。

目前，只知道Shlayer在受感染的主機(jī)上下載并安裝了Tarmac之后，Tarmac會(huì)收集有關(guān)受害者硬件設(shè)置的詳細(xì)信息，并將此信息發(fā)送到其命令和控制服務(wù)器。

此時(shí)，Tarmac將等待新命令。但是由于這些服務(wù)器不可用，因此Karim無(wú)法確定Tarmac背后的全部范圍。

從理論上講，大多數(shù)第二階段惡意軟件菌株通常都是非常強(qiáng)大的惡意軟件菌株，具有許多侵入性功能。至少在理論上，柏油碎石應(yīng)該是一個(gè)非常危險(xiǎn)的威脅。

然而，目前，這個(gè)謎仍然存在。

TARMAC已分發(fā)給美國(guó)，意大利和日本用戶(hù)

但是，盡管尚未發(fā)現(xiàn)Tarmac的全部功能，但我們確實(shí)了解有關(guān)誰(shuí)可能被感染的一些詳細(xì)信息。

Karim在今天的一次采訪中告訴ZDNet，分發(fā)Shlayer和Tarmac組合的惡意廣告活動(dòng)針對(duì)的是位于美國(guó)，意大利和日本的用戶(hù)。

盡管美國(guó)和日本是惡意廣告和惡意軟件活動(dòng)的常規(guī)目標(biāo)，但意大利卻是一個(gè)奇怪的選擇。

卡里姆對(duì)ZDNet表示：“我們認(rèn)為行動(dòng)者是不斷嘗試的，他們可能在意大利找到了一個(gè)甜蜜點(diǎn)，介于他們可以獲得的利潤(rùn)和安全界的關(guān)注程度之間。”

由于Tarmac負(fù)載是由合法的Apple開(kāi)發(fā)人員證書(shū)簽名的，因此Gatekeeper和XProtect之類(lèi)的功能不會(huì)停止其安裝或顯示任何錯(cuò)誤。

想要查看自己的Mac系統(tǒng)是否受到此惡意軟件感染的用戶(hù)和公司可以在Karim的Tarmac報(bào)告中找到危害指標(biāo)(IoC)。