В начале 2025 года эксперты по кибербезопасности зафиксировали новую волну атак с использованием вредоносного ПО FlexibleFerret, которое связывают с северокорейскими хакерскими группами. Злоумышленники активно применяют социальную инженерию через фиктивные платформы трудоустройства, заставляя жертв самостоятельно запускать вредоносные скрипты в терминале macOS. Исследовательская группа Jamf Threat Labs обнаружила свежие образцы JavaScript-загрузчиков, связанных с этой кампанией.
Описание
Атака начинается с создания убедительных фиктивных сайтов по подбору персонала, таких как evaluza[.]com и proficiencycert[.]com. Злоумышленники имитируют процесс найма в известные компании, включая блокчейн-проекты, и предлагают кандидатам пройти многоэтапное собеседование. После заполнения анкеты и записи видео-презентации соискателям предлагают выполнить команду в терминале macOS под предлогом решения технических проблем с доступом к камере или микрофону.
На первом этапе жертва выполняет curl-команду, которая загружает скрипт macpatch.sh в директорию /var/tmp/, делает его исполняемым и запускает в фоновом режиме. Этот скрипт автоматически определяет архитектуру процессора (arm64 или x86_64) и загружает соответствующий вредоносный payload (полезную нагрузку) с сервера злоумышленников. Например, для процессоров Apple Silicon используется адрес hXXps://app.zynoracreative.com/updrv8/drv-Arm64.patch.
Второй этап атаки включает распаковку архива CDrivers.zip и создание механизма persistence (устойчивости) через LaunchAgent. Вредоносный скрипт регистрирует службу com.driver9990as7tpatch.plist в папке LaunchAgents, что обеспечивает автоматический запуск malware при каждой загрузке системы. Параллельно запускается приложение-обманка MediaPatcher.APP, которое имитирует интерфейс Chrome и выводит фиктивные запросы на доступ к камере и паролю.
Третий этап активирует бэкдор на Go, который генерирует уникальный идентификатор устройства и устанавливает соединение с командным сервером (C2) по адресу 95.169.180.140:8080. Backdoor поддерживает разнообразные команды, включая сбор системной информации, загрузку и выгрузку файлов, выполнение произвольных команд и кражу данных из браузера Chrome. Особую опасность представляет функционал кражи учетных данных через анализ Chrome Login Data DB и связанных файлов ключей.
Эксперты отмечают, что данная кампания демонстрирует эволюцию тактик социальной инженерии. Злоумышленники тщательно прорабатывают легенду фиктивных компаний и адаптируют сценарии под конкретных жертв. При этом использование легитимных сервисов типа Dropbox для эксфильтрации данных усложняет обнаружение атаки стандартными системами защиты.
Организациям рекомендуется обучать сотрудников распознаванию фишинговых сценариев и блокировать несанкционированный запуск команд терминала. Критически важно проверять подлинность рекрутинговых процессов и немедленно сообщать о любых предложениях выполнить технические "исправления" через командную строку. Гибкая адаптация FlexibleFerret к новым условиям подтверждает, что угрозы для macOS продолжают развиваться, требуя повышенного внимания к безопасности как корпоративных, так и личных устройств.
Индикаторы компрометации
