MAC - 資安趨勢部落格

Mac用戶當心山寨版 iTerm2 App的網路釣魚攻擊

2021 年 10 月 18 日2021 年 10 月 19 日趨勢科技 TrendMicro

一款偽裝 iTerm2 App的應用程式會下載並執行惡意軟體，並從受害者電腦裡收集個人資料。

在九月初，中國問答網站知乎上有一位使用者回報搜尋關鍵字iTerm2會出現一個山寨網站item2.net，它偽裝成合法的iterm2.com（圖 1）。但透過iterm2.net上的連結會下載到惡意版本的iTerm2 App（macOS 終端模擬器）。當執行此應用程式時，它會下載並執行g.py，一個來自47[.]75[.]123[.]111的惡意Python腳本。這惡意腳本被趨勢科技偵測為TrojanSpy.Python.ZURU.A，它會從受害者電腦上收集個人資料。

一款偽裝 iTerm2 App的應用程式會下載並執行惡意軟體，並從受害者電腦裡收集個人資料。

在本月初，中國問答網站知乎上有一位使用者回報搜尋關鍵字iTerm2會出現一個山寨網站item2.net，它偽裝成合法的iterm2.com（圖 1）。但透過iterm2.net上的連結會下載到惡意版本的iTerm2 App（macOS 終端模擬器）。當執行此應用程式時，它會下載並執行g.py，一個來自47[.]75[.]123[.]111的惡意Python腳本。這惡意腳本被趨勢科技偵測為TrojanSpy.Python.ZURU.A，它會從受害者電腦上收集個人資料。

Figure 1. The fraudulent website iterm2.net — 圖 1. 詐騙網站iterm2.net

Objective-see之前發表一篇關於此惡意軟體的文章，分析了駭客如何重新封裝iTerm2 App來載入惡意的libcrypto.2.dylib。它會下載並執行其他組件，包括前面提到的g.py腳本和名為「GoogleUpdate」的Mach-O檔案（裡面包含了Cobalt Strike beacon）。這篇文章提供了惡意軟體的詳細資訊。

繼續閱讀

Mac 惡意程式 XCSSET：感染 Xcode 專案，對 Safari 與其他瀏覽器發動 UXSS 攻擊並利用零時差漏洞

2020 年 08 月 16 日2021 年 12 月 23 日趨勢科技 TrendMicro

最近趨勢科技發現一種罕見的感染手法，專門感染 Xcode 開發專案。經過進一步調查之後，我們在某開發人員的 Xcode 專案中發現了原始惡意程式，深入追查之後更找到其他惡意檔案。在這調查過程當中，最值得注意的是我們發現了兩個零時差漏洞攻擊手法：其中一個是利用 Data Vault 的某個缺陷來竊取瀏覽器的 Cookie；另一個則是用來操控開發版本的 Safari 瀏覽器執行惡意行為。

此威脅比尋常，因為其惡意程式碼是注入於本地端 Xcode 專案當中，因此當該專案在產生應用程式時就會執行惡意程式碼，這對 Xcode 開發人員來說尤其特別危險。當我們發現受害的開發人員將其專案分享到 GitHub 之後，此威脅也隨之升高，使用者若將此專用應用到自己的開發專案當中，會造成類似供應鏈攻擊的效果。此外，我們也從 VirusTotal 之類的來源發現到此威脅，表示這項威脅已經擴散開來。

以下摘要說明我們對此威脅的分析結果，詳細攻擊細節請參閱相關技術摘要。首先，我們將此惡意程式命名為「TrojanSpy.MacOS.XCSSET.A」其幕後操縱 (C&C) 相關檔案命名為「 Backdoor.MacOS.XCSSET.A」。

此惡意程式主要經由 Xcode 專案以及從此惡意程式所衍生的應用程式散布。目前還不清楚惡意程式一開始是如何進入被感染的系統，因為照理講這些系統主要開發人員在使用。這些 Xcode 專案已遭修改，因此當專案在產生應用程式時就會執行惡意程式碼，進而使得 XCSSET 的主要惡意程式被植入到受害系統上執行。此外，受害使用者的登入憑證、帳號以及其他重要資料也可能遭竊。

XCSSET 進入受害系統之後可能出現以下行為：

繼續閱讀

使用 Mac 在家上班,確保安全、私密性與生產力的秘訣

2020 年 06 月 30 日2020 年 06 月 16 日趨勢科技 TrendMicro

在世界各地仍然還有許多人因為新冠狀病毒(COVID-19, Coronavirus俗稱武漢肺炎)的疫情，被迫在家上班，而這當中有一部分的人是使用 Mac。若你也從公司攜帶了一台 Mac 回家上班的話，那麼你公司的 IT 部門很可能已經幫你將 Mac 的設定調整好以符合公司的資安政策。不過，若你使用的是自己家裡本來就有的 Mac 電腦來處理公司的事務，那你就必須自行強化它的安全性來配合公司要求，以免電腦及公司遭到駭客入侵或竊聽，並確保電腦能保持順利運作。

以下是你使用 Mac 在家上班該如何確保安全、私密性與生產力的 21 項秘訣 :

Mac 電腦如何防範病毒與網路威脅?

雖然 Mac 使用者本來就應該養成良好的資安習慣 (畢竟 Mac 也可能遭到惡意攻擊，不是只有 PC 才會)，不過，當你在家上班時，你的 Mac 電腦將經由網際網路連上公司的應用程式與平台。所以，首先第一步就是要升級 Mac 本身的安全防護，讓它能防範病毒與惡意程式。以下是你應核對的資安項目：

繼續閱讀

新的 MacOS Dacls RAT後門程式,展現駭客集團 Lazarus多平台的攻擊能力

2020 年 05 月 19 日2020 年 05 月 18 日趨勢科技 TrendMicro

一次性密碼（OTP）系統被用來產生只能登入和連上特定網路服務一次的密碼。這樣的滾動式密碼系統通常由第三方代管，減少駭客使用入侵的帳號來進入系統的風險。

趨勢科技在四月發現一個看似普通 OTP 身份驗證工具的應用程式樣本 TinkaOTP。經過進一步調查發現,此應用程式與 2019年12月現身的Windows和 Linux後門程式 Dacls遠端存取木馬（RAT）非常相似。此木馬的C&C伺服器和儲存樣本連線時所用的字串可以和駭客集團Lazarus之前的部署關聯在一起。

跟駭客集團 Lazarus 的關聯

執行 TinkaOTP應用程式後，此樣本看起來是安裝並執行的DMG安裝套件。啟動該應用程式最初並沒有發現任何可疑行為，但它會將隱藏檔案~/Library/.mina植入Library資料夾，並將LaunchDaemon /Library/LaunchDaemons/com.aex-loop.agent.plist設定在開機時執行該隱藏檔案。

繼續閱讀