VirusTotal представила macOS Mirage - динамическую песочницу (изолированную среду для запуска и наблюдения за образцами) под macOS. Она приходит на смену Box of Apples, первой собственной разработке компании для этой платформы, которую выпустили в 2015 году и обновили в 2018-м. Новая система построена с нуля под процессоры собственного производства Apple и современные версии macOS.
Смена платформы назрела давно. За прошедшее десятилетие изменилось и само устройство компьютеров Apple, и характер угроз для них. Компания перевела свои машины с процессоров Intel на собственные, ужесточила модель защиты и отказалась от части механизмов динамической трассировки. Одновременно злоумышленники перешли на сборки, нативные для новой архитектуры, многоступенчатые установщики с элементами социальной инженерии и сценарии, собирающие учётные данные. Прежняя песочница всего этого уже не покрывала.
Смена поколений в анализе macOS
Новая разработка работает непосредственно на оборудовании Apple Silicon. Вместо прежней трассировки системных вызовов она опирается на средства наблюдения, которые поддерживает само ядро системы. Такой подход позволяет фиксировать создание процессов, аргументы командной строки, изменения файлов, установку механизмов закрепления и обращения к защищённым хранилищам без потери событий. В анонсе VirusTotal прямо сказано: старые сценарии трассировки упирались в системные ограничения, и от них пришлось отказаться.
Список возможностей заметно шире, чем у предшественницы. Песочница принимает сборки под новую архитектуру и универсальные бинарные файлы, образы дисков, установочные пакеты, приложения, сценарии командной оболочки, скрипты на языке Python и документы в формате PDF. Извлечённые при запуске объекты она автоматически передаёт на повторную проверку несколькими движками. Отдельно фиксируются попытки прописаться в системе, правки профилей оболочки, обращения к связке ключей, файлам cookie, ключам SSH, базе заметок и журналу истории команд. Есть и ускоренный вывод графики: песочница показывает, что именно увидел бы пользователь на экране.
Разбираться в потоке событий помогают поведенческие правила Sigma (описывают подозрительные действия в машинночитаемом виде) и карта техник MITRE ATT&CK (перечень приёмов, которыми пользуются злоумышленники). Каждое срабатывание получает привязку к конкретному приёму, а высокая совокупная оценка превращается в готовый вердикт о вредоносности.
Похититель данных под наблюдением
Наглядный пример - образец похитителя данных, разобранный при помощи новой песочницы. При запуске он показывает поддельное окно с просьбой ввести пароль устройства. Собранный пароль вредоносная программа проверяет через локальную службу каталогов, а затем с правами администратора устанавливает фоновую службу, запускающуюся при загрузке системы.
Дальше начинается сбор данных. Программа открывает связку ключей пользователя, файлы cookie браузера Safari, базу заметок Apple Notes, ключи SSH и историю команд. Найденное она складывает во временный каталог, сжимает служебной утилитой и отправляет на внешний сервер обычным запросом. Оттуда же загружается вторая ступень - крупный исполняемый файл. Временные файлы после этого программа удаляет.
Показательна реакция статических сканеров. Первую ступень на момент разбора обнаруживали лишь шесть движков из семидесяти шести. Свойства файла закрепления не распознал ни один из семидесяти пяти. Вторая ступень в изоляции завершается меньше чем за секунду: она зависит от скрытых файлов состояния, которые записала первая ступень. Полную картину даёт только отслеживание всей цепочки процессов.
Живой анализ для расследований
Часть угроз не раскрывается без участия человека. Установщики прячут вредоносное поведение за многошаговыми окнами, образы дисков требуют пароля, выполнение останавливается в ожидании действий пользователя. Для таких случаев в отдельном коммерческом предложении доступен интерактивный режим. Аналитик подключается к рабочему столу прямо из браузера, управляет мышью и клавиатурой, переносит пароли и команды из буфера обмена своей машины. Сессия длится до получаса, сетевой режим настраивается вплоть до полной изоляции или маршрутизации через сеть Tor. Все созданные материалы остаются в закрытом контуре организации и не публикуются.
Выпуск отражает общую тенденцию: macOS перестала быть второстепенной целью. Переход Apple на собственные процессоры и усиление защиты не остановили злоумышленников, а заставили их переписать инструменты под новую среду. Платформы для анализа обновляются с той же скоростью. Конкуренция здесь идёт уже не за число детекций, а за полноту картины на каждой ступени атаки.
