Исследователи из Kandji обнаружили новое семейство вредоносного ПО для macOS под названием TodoSwift. Особенность этого вируса в том, что он написан на языке Swift, что делает его редким явлением в мире вредоносных программ. TodoSwift имитирует поведение легитимного ПО, оставаясь незамеченным, но при этом обладает возможностями бекдора и функциями сохранения в системе.
Описание
Что такое TodoSwift?
TodoSwift - это macOS-бекдор, который притворяется PDF-загрузчиком, но на самом деле загружает и запускает второй этап вредоносной нагрузки. Эксперты связывают его с хакерской группировкой BlueNoroff, которая, как предполагается, действует в интересах Северной Кореи (КНДР).
Почему это важно?
Зловреды для macOS встречаются реже, чем для Windows, а написанные на Swift - вообще редкость. Это показывает, как злоумышленники адаптируют свои инструменты под нативные практики разработки Apple, чтобы усложнить обнаружение. В случае TodoSwift используется подписанный файл под названием TodoTasks, который был загружен на VirusTotal 24 июля 2024 года. Его поведение схоже с предыдущими атаками BlueNoroff, такими как KandyKorn и RustBucket.
Как работает TodoSwift?
Приложение использует графический интерфейс (GUI), написанный на Swift/SwiftUI. Под видом загрузки PDF-файла оно незаметно скачивает и запускает вредоносный бинарный файл. Весь процесс начинается с метода makeWindowControllers, который инициирует работу с документом TodoTaskDocument. Далее происходит следующее:
1. Загрузка вредоносного PDF
Приложение создает NSTask, который выполняет команду curl, скачивая PDF с Google Drive. Файл сохраняется в "/tmp/GoogleMsgStatus.pdf" и открывается через NSWorkspace - это придает легитимность, поскольку пользователь видит документ о прогнозах цен на Bitcoin.
2. Загрузка второго этапа
Параллельно с PDF запускается еще одна curl-команда, которая загружает исполняемый файл NetMsgStatus в "/tmp/". В этом запросе также передается строка pw, которая, вероятно, служит ключом для сервера злоумышленников.
3. Запуск вредоносного файла
После загрузки программа меняет права доступа ("chmod 777") и запускает NetMsgStatus с аргументом - URL вредоносного сервера. Такое поведение ранее отмечалось в других атаках DPRK.
Вывод
TodoSwift - очередное подтверждение того, что атакующие группы активно развивают инструментарий для macOS, используя нативные технологии Apple. В данном случае хакеры прикрываются темой криптовалют, что соответствует прошлым аппетитам северокорейских группировок. Пользователям Mac стоит внимательно проверять источники скачиваемых файлов и использовать системы мониторинга для выявления подозрительной активности.
Индикаторы компрометации
