بکدور RustDoor، دستگاه‌های macOS اپل را مورد هدف قرار داد

محققان شرکت بیت دیفندر یک بکدور جدید را کشف کرده‌اند که کاربران سیستم عامل مک را مورد هدف قرار می‌دهد. این خانواده بدافزار جدید به زبان Rust نوشته شده است و دارای چند ویژگی جالب می‌باشد. این بدافزار که توسط بیت دیفندر بکدور RustDoor نامیده می‌شود، جعل به‌ روزرسانی برای Microsoft Visual Studio است و معماری‌های Intel و Arm را مورد هدف قرار می‌دهد.

مسیر دسترسی اولیه مورد استفاده برای تکثیر ایمپلنت در حال حاضر دقیقا مشخص نیست، اما به نظر می‌رسد که این بکدور، جعل یک به روز رسانی ویژوال استودیو است و همه فایل‌های شناسایی شده مستقیماً به صورت باینری FAT با فایل‌های Mach-O برای معماری‌های x86_64 Intel و ARM توزیع می‌شوند. برخی از نمونه‌های شناسایی شده به نام‌های زیر هستند:

zshrc2

Previewers

VisualStudioUpdater

VisualStudioUpdater_Patch

VisualStudioUpdating

visualstudioupdate

DO_NOT_RUN_ChromeUpdates

انواع مختلفی از این بکدور با تغییرات جزئی تا به امروز شناسایی شده است که احتمالاً نشان دهنده توسعه فعال آن می‌باشد. اولین نمونه بکدور RustDoor به دوم نوامبر ۲۰۲۳ باز می‌گردد. کد منبع فایل ها در Rust نوشته شده است و تجزیه و تحلیل باینری‌ها و نام فایل‌های منبع اصلی را نشان می‌دهد. تحلیل Rust نسبت به سایر زبان‌های رایج‌تر مانند C یا Python متفاوت است و تحلیل و شناسایی کدهای مخرب را برای محققان امنیتی دشوارتر می‌سازد. این ویژگی می‌تواند به نویسندگان بدافزار، مزیتی در دور زدن مکانیزم شناسایی و تشخیص ارائه دهد.

فایل‌های منبع نوع ۱:

این نوع که برای اولین بار در بیست دوم نوامبر ۲۰۲۳ مشاهده شد، به نظر می‌رسد یک نسخه آزمایشی باشد و همانطور که در فایل plist تعبیه شده نشان داده شده است از یک نوشته عمومی که مکانیزم تداوم دسترسی و تکنیک‌های خروج از سندباکس را برای macOS توضیح می‌دهد، کپی پیست شده است. سرنخ احتمالی دیگر نام فایل plist (test.plist) می‌باشد.

اگرچه این فهرست تعبیه شده برای اطمینان از تداوم دسترسی با استفاده از LaunchAgents است، اما پیکربندی شامل فیلدی برای این روش تداوم دسترسی (فقط برای پایداری با استفاده از cronjobs یا درج برنامه در نوار Dock ) نیست (همانطور که در نوع دوم مشاهده می‌شود).

فایل‌های منبع نوع ۲:

همه نمونه‌هایی که ما آنالیز کردیم شامل عملکرد بکدور، با لیستی از دستورات پشتیبانی شده زیر است:

ps

shell

cd

mkdir

rm

rmdir

sleep

upload

botkill

dialog

taskkill

download

فایل‌های متعلق به نسخه دوم برای اولین بار در سی‌اُم نوامبر ۲۰۲۳ مشاهده شدند و کمی بزرگتر از نمونه‌های خود در نسخه یک هستند و در حدود ۴ تا ۵ مگابایت می‌باشند. به نظر می‌رسد این نسخه، نسخه ارتقا یافته بدافزاری است که اکنون شامل یک پیکربندی پیچیده JSON و همچنین یک اسکریپت تعبیه ‌شده اپل است که برای استخراج استفاده می‌شود.

اسکریپت تعبیه شده اپل

ما انواع مختلفی از اسکریپت تعبیه شده اپل را شناسایی کردیم، اما همه آنها برای استخراج داده ها طراحی شده‌اند. این اسکریپت برای استخراج اسناد با پسوندها و اندازه‌های خاص از پوشه‌های Documents و Desktop و همچنین یادداشت‌های کاربر که در قالب SQLITE در مکان زیر ذخیره می‌شوند استفاده می‌شود:  Users/<user>/Library/Group Containers/group. com.apple.notes/NoteStore.sqlite

چندین رشته حاوی پسوندهای هدفمند از جمله txt، rtf، doc، xls، xlsx، png، pdf، pem، asc، ppk، rdp، zip، sql، ovpn، kdbx، conf، key، json در داخل باینری‌ها شناسایی شدند. پس از اینکه همه فایل ها در پوشه مخفی مقصد کپی شدند، در یک آرشیو ZIP  (که <username>_home.zip دارد) فشرده شده و به سرور C2 ارسال می‌شوند.

بکدور RustDoor دارای طیف گسترده‌ای از دستورات است که به آن امکان می‌دهد فایل ها را جمع آوری و آپلود کند و اطلاعات مربوط به endpoint  هک شده را جمع آوری نماید. برخی نسخه‌ها همچنین شامل پیکربندی‌هایی با جزئیات در مورد اینکه چه داده‌هایی باید جمع‌آوری شود، فهرست افزونه‌ها و فهرست‌های هدفمند، و فهرست‌هایی که باید حذف شوند، می‌باشند. اطلاعات استخراج شده سپس به یک سرور فرمان و کنترل (C2) ارسال می شود.

این بدافزار احتمالاً به دلیل همپوشانی در زیرساخت های C2 با خانواده های باج افزار برجسته مانند Black Basta و BlackCat مرتبط می‌باشد. ALPHV/BlackCat نیز یک خانواده باج‌افزار است (همچنین به زبان Rust نوشته شده است)، که اولین بار در نوامبر ۲۰۲۱ ظاهر شد و در مدل کسب‌وکار افشای عمومی پیشگام بود.

دولت ایالات متحده در دسامبر ۲۰۲۳، اعلام کرد که عملیات باج افزار BlackCat را متوقف ساخته و یک ابزار رمزگشایی منتشر کرده است که بیش از ۵۰۰ قربانی آسیب دیده می‌توانند از آن برای دسترسی مجدد به فایل‌های قفل شده توسط بدافزار استفاده کنند.

IoC:

باینری‌ها: