Aggiungi Punto Informatico come Fonte preferita su Google I ricercatori di Jamf hanno individuato un nuovo malware, denominato CrashStealer , che sembra il tool di segnalazione dei crash di macOS. Lo scopo dei cybercriminali è rubare credenziali e criptovalute. Un campione è stato scoperto a maggio su VirusTotal, ma era una versione preliminare. Il primo attacco è stato invece rilevato all’inizio di luglio. Descrizione di CrashStealer I ricercatori hanno scoperto che l’accesso iniziale avviene tramite un’immagine DMG che contiene l’ installer dell’app Werkbit (una presunta piattaforma di collaborazione). Non è noto come viene distribuito (forse tramite phishing che porta sul sito fasullo), ma si tratta di un’eseguibile firmato e approvato da Apple, quindi supera i controlli di Gatekeeper senza mostrare avvisi di pericolo. All’avvio viene chiesta la password dell’account con un prompt simile a quello legittimo. Ciò permette di accedere al Keychain dell’utente e quindi a credenziali, token, chiavi cifrate e altri dati sensibili. CrashStealer può inoltre rubare credenziali e cookie da Firefox e browser basati su Chromium, file da varie directory e dati da 14 password manager. Può anche accedere alle estensioni per browser di 80 wallet di criptovalute. I dati vengono quindi cifrati con l’algoritmo AES-256-GCM, inserito in un archivio ZIP nascosto e inviati al server C2 (command-and-control). Per ostacolare l’analisi del codice sono state utilizzate varie tecniche. Le funzionalità
🇬🇧 Summary in English
Add Punto Informatico as Favorite Source on Google Jamf researchers have identified a new malware, called CrashStealer, which appears to be the macOS crash reporting tool. The aim of cybercriminals is to steal credentials and cryptocurrencies. A sample was discovered in May on VirusTotal, but it was a preliminary version. The first attack was detected at the beginning of July. Description of CrashStealer Researchers found that initial access is via a DMG image that contains the Werkbit app installer (a supposed collaboration platform). It is not known how it is distributed (perhaps via phishing that leads to the fake site), but it is an executable signed and approved by Apple, so it passes Gatekeeper checks without showing danger warnings. At startup you are asked for your account password with a prompt similar to the legitimate one. This allows access to the user’s Keychain and therefore to credentials, tokens, encrypted keys and other sensitive data. CrashStealer can also steal credentials and cookies from Firefox and Chromium-based browsers, files from various directories, and data from 14 password managers. It can also access browser extensions for 80 cryptocurrency wallets. The data is then encrypted with the AES-256-GCM algorithm, placed in a hidden ZIP archive and sent to the C2 (command-and-control) server. Various techniques have been used to hinder code analysis. The features
Leggi l’articolo originale su Punto Informatico →
Fonte: Punto Informatico | Argomento: Tech News
#tecnologia #innovazione #technews