MacOS бавно, но сигурно губи своя имунитет срещу кибератаки

Според Trellix (компания, специализирана в областта на киберсигурността) през последните години пейзажът от заплахи за операционната система macOS се е променил значително. Според StatCounter използването на macOS е нараснало с 2% при сравняване на периодите от януари 2021 до януари 2023 година и от януари 2023 до август тази година. Нарастващата популярност на платформата сред корпоративните потребители привлича вниманието на киберпрестъпниците.

Привлекателността на macOS за нападателите се дължи не само на нарастващия брой устройства, но и на статуса на потребителите. За разлика от терминалите за търговия на дребно, където macOS е рядкост, операционната система по-често на Apple се използва от разработчици, специалисти по информационна сигурност, вицепрезиденти и висши ръководители. Достъпът до устройствата на тези потребители отваря вратата към измамни транзакции, чувствителна информация или деактивиране на вътрешни системи за цифрова сигурност.

Все по-широкото използване на междуплатформени езици за програмиране като Golang за създаване на зловреден софтуер подхранва разпространението на заплахите. За разлика от традиционните езици като C++, които изискват значителни промени в кода, за да работят на различни платформи, съвременните мултиплатформени езици позволяват macOS да бъде включена в списъка с целеви системи за атаки с минимални усилия.

Севернокорейската хакерска група Lazarus е особено активна в атаките срещу macOS.

От 2018 гoдина насам групата разпространява зловреден софтуер чрез фалшиви приложения за търговия с криптовалути, тъй като macOS е по-разпространена сред потребителите и ентусиастите на криптовалути. Жертвите се примамват чрез фишинг имейли и сложни техники за социално инженерство. След като бъде инсталиран, зловредният софтуер поема контрола над системите.

До 2020 година Lazarus разширява арсенала си, за да включи междуплатформен зловреден софтуер. Кампанията ElectroRAT, която се провеждаше в периода 2020-2021 година беше насочена към потребителите на криптовалути в macOS, Windows и Linux. Групата създаде фалшиви уебсайтове и фалшиви онлайн профили, за да популяризира зловредните приложения във форумите за криптовалута. Зловредният софтуер осигуряваше достъп до системите на жертвите чрез задни вратички.

Lazarus също така извършваше атаки чрез компрометиране на веригата за доставки с помощта на XcodeSpy, насочен към разработчици на macOS. Нападателите са инжектирали злонамерени скриптове в хранилища с отворен код. При компилиране на заразените проекти в Xcode системите на разработчиците са били заразявани. Този подход не само дава достъп до средите за разработка, но и създава рискове за софтуера като цяло.

Между 2022 и 2023 година Lazarus увеличи фокуса си върху корпоративни цели. Групата провеждаше фишинг кампании под прикритието на набиране на персонал, като разпространяваше подписан зловреден софтуер, маскиран като файлове за кандидати за работа. След като се отворят, файловете инсталират софтуер за кражба на корпоративни данни.

Групата активно използва междуплатформените езици за програмиране Python, Golang и Rust. През 2023 година е открит зловредният софтуер RustBucket за macOS, написан на Rust. Програмата използва AppleScript, за да зарежда полезен товар и прилага LaunchAgents, за да се закотви в системата.

Експертите подчертават, че разпространеното мнение, че macOS е по-сигурна, се основава само на по-малкото разпространение на системата. С нарастването на популярността на платформата в корпоративния сектор се увеличава и броят на целенасочените атаки срещу потребители на MacOS. Въпреки че в статията се споменават конкретни групи от определени региони, списъкът на заплахите е много по-широк.