В нарастающей волне кибератак, направленных на Web3 и криптовалютные платформы, эксперты SentinelLABS выявили новую сложную кампанию, связанную с северокорейскими угрозными акторами. Анализ инцидента, зафиксированного в апреле 2025 года, показал использование ранее не встречавшихся в macOS-вредоносах тактик, включая компиляцию кода на языке Nim, инъекцию процессов и уникальный механизм персистентности через обработку сигналов SIGINT/SIGTERM. Эта многоступенчатая операция, получившая название NimDoor, демонстрирует эволюцию методов DPRK-группировок, адаптирующих инструментарий под специфику экосистемы Apple.
Описание
Атака начинается с фишинга через Telegram: злоумышленники, выдавая себя за доверенных контактов, предлагают жертвам присоединиться к Zoom-совещанию. Целевым пользователям рассылается письмо с инструкцией по установке "обновления Zoom SDK", скрывающего вредоносный AppleScript zoom_sdk_support.scpt. Файл содержит 10 000 строк пробелов для обфускации, а его исполнение запускает цепочку загрузки последующих скриптов с доменов, мимикрирующих под легитимные сервисы Zoom (например, support.us05web-zoom[.]forum). Этот этап служит плацдармом для развертывания двух параллельных процессов.
Первый компонент - бинарный файл a (InjectWithDyldArm64), написанный на C++. Он расшифровывает внедренные в себя исполняемые модули, включая троян trojan1_arm64, который внедряется в легитимный процесс Target через приостановку posix_spawn и последующий SIGCONT. Для коммуникации используется протокол wss (WebSocket Secure) с сервером firstfromsep[.]online, что нетипично для macOS-угроз. Обмен данными включает многоуровневое шифрование RC4 и JSON-структуры, позволяющие выполнять команды: от сбора системной информации до произвольного выполнения кода. Финал цепочки - загрузка bash-скриптов upl и tlgrm, которые выкачивают данные браузеров (Chrome, Firefox, Brave), Keychain, историю командных оболочек и базы Telegram с последующей отправкой на dataupload[.]store.
Второй вектор связан с Nim-скомпилированным бинарником installer, создающим инфраструктуру для устойчивости. Он развертывает поддельный компонент "GoogIe LLC" (с заменой l на I) и CoreKitAgent в системных директориях /Library/CoreKit/ и ~/Library/Application Support/Google LLC/. Ключевая инновация - обработка сигналов SIGINT/SIGTERM: при попытке убить процесс или перезагрузить систему, CoreKitAgent автоматически переустанавливает персистентность через LaunchAgent com.google.update.plist. Этот агент активирует цепочку: GoogIe LLC → CoreKitAgent, обеспечивая выживание вредоноса. CoreKitAgent реализует сложную state-машину с kqueue, включая 10-минутную асинхронную задержку для противодействия песочницам.
Особую роль играют AppleScript-бекдоры. CoreKitAgent декодирует шестнадцатеричные строки в скрипт .ses, который каждые 30 секунд отправляет на C2 (writeup[.]live или safeup[.]store) список запущенных процессов и выполняет любые полученные команды через run script. Для обхода детекции авторы разбивают строки на символьные массивы, а в скриптах upl/tlgrm используют идентичные функции эксфильтрации с единым сервером.
Эксперты подчеркивают комбинацию "старых" и новых TTPs: социальную инженерию через Calendly/Zoom, типичную для DPRK, но обогащенную Nim-компиляцией, обработкой сигналов и wss-коммуникацией. Рекомендации для защиты включают мониторинг LaunchAgents, анализ необычных AppleScript-активностей, проверку прав com.apple.security.cs.debugger, и детектирование файлов в /private/tmp/.config. Обнаруженные IoCs (домены, хеши) уже интегрированы в системы киберразведки. Угроза NimDoor подчеркивает растущую изощренность атак на macOS в критически важных для экономики блокчейн-сегментах, где конфиденциальность данных напрямую конвертируется в финансовые риски.
Индикаторы компрометации
