• +(57 1) 745-7312
  • contacto@openitnet.com

NOTICIAS

OSX.Dummy: el malware "tonto" para macOS que pone el objetivo en los usuarios de criptodivisas

El malware ha sido descubierto por el investigador Remco Verhoef (@remco_verhoef) y analizado en profundidad por Patrick Wardle (@patrickwardle). Utiliza métodos bastante simples de infección y persistencia y pone el blanco sobre los usuarios de criptodivisas. 

Hoy hemos analizado una nueva muestra de malware para Mac. Lo he llamado OSX.Dummy porque:
  • El método de infección es estúpido.
  • El enorme tamaño del binario es estúpido.
  • El mecanismo de persistencia es patético (y por tanto también estúpido).
  • Las capacidades son más bien limitadas (y por tanto, más bien estúpidas).
  • Es trivial detectarlo en cada paso (es así de estúpido).
  • ... Y, finalmente, porque guarda la contraseña del usuario en el fichero 'dumpdummy'.


Y así ha sido el bautizo de OSX.Dummy. El malware fue señalado en primera instancia por Remco Verhoef en el artículo "Crypto community target of MacOS malware" para el Internet Storm Center del instituto SANS. En el articulo, Verhoef comenta que durante los últimos días había notado un aumento de mensajes en grupos de Slack y Discord haciéndose pasar por miembros importantes de los mismos. Estos mensajes pedían ejecutar este script:


De forma que la victima se infectara a si misma, en un intento bastante ingenuo ("El método de infección es estúpido"). Este script descarga un fichero MachO de 34 MB ("El enorme tamaño del binario es estúpido"). A la hora de su articulo, no era detectado por ningún motor anti-virus. A día de hoy, ya son 4 motores los que lo señalan como malware.
 
 

El análisis de la muestra realizado por Verhoef mostraba referencias a Pkg, un empaquetador que une aplicaciones JavaScript y el servidor node.js en un único ejecutable. El análisis del comportamiento de la muestra arroja la generación de varios ficheros con el objetivo de asegurar la persistencia del malware ("El mecanismo de persistencia es patético").  


En cada inicio se ejecuta el fichero '/var/root/script', cuyo el objetivo es conectarse al punto de control para establecer una shell inversa para poder ejecutar comandos como superusuario de forma remota.


En este punto es donde Patrick Wardle toma el relevo y, además de bautizarlo como hemos visto al principio, encuentra algunos datos interesantes adicionales:

  • El fichero '/tmp/dumpdummy' (ya mencionado por Verhoef) sirve para almacenar la contraseña desudo.
  • El binario no está firmado. Estos binarios serían bloqueados por GateKeeper en una situación normal. Sin embargo, al ejecutarse a través de linea de comandos, GateKeeper no lo analiza.
  • El tamaño del binario es debido a que varias librerías, como OpenSSL y V8 de Google, se encuentran compiladas estáticamente.
A pesar de ambos análisis, aun está por descubrir por qué el atacante tenía como objetivo la comunidad de usuarios de criptodivisas, ya que el malware no tiene ninguna funcionalidad especifica para las mismas.
Fuente: Hispasec.com

7. Gestión de Proyectos

2020-02-13 Hits:229

Las herramientas de gestión de proyectos son adecuadas para aquellas empresas que deben ejecutar múltiples actividades para completar una venta;

Leer Más...

6. Gestión de Listas de Correo

2019-06-17 Hits:591

Una excelente forma de mantenerse en contacto con los clientes y prospectos sobre novedades, lanzamientos, eventos y noticias de nuestra empresa es mediante la gestión de listas de correo. Como en el caso del servidor de correo, existen muchas opciones...

Leer Más...

5. Servidor Web.

2019-03-07 Hits:501

¡Muy bien! Ya tenemos nuestro flamante nuevo sitio web al aire, y todos nuestros clientes nos felicitan por lo lindo y moderno que quedó. Pero ahora viene lo interesante… ¿Como hacemos para mantenerlo actualizado y que nuestros visitantes se mantengan...

Leer Más...

Google pagará a los editores por noticias de “alta calidad” en tres países. Google pagará a los editores por el con… https://t.co/KW0wWHTSvH

Zoho lanzó CRM para pequeñas empresas, que arranca en 7 dólares mensuale. El nuevo CRM de Zoho, llamado Bigin, tien… https://t.co/BxZH7lUdWf

Somos una empresa de soluciones en consultoría informática, especializada en instalación de aplicaciones corporativas y administración de infraestructura tecnológica, con énfasis en pequeñas y medianas empresas (Pymes).

INFORMACIÓN

Calle 67 # 8-16 Of. 304 Bogotá, Colombia

+(57 1) 745-7312

This email address is being protected from spambots. You need JavaScript enabled to view it.

Tweets

Google pagará a los editores por noticias de “alta calidad” en tres países. Google pagará a los editores por el con… https://t.co/KW0wWHTSvH

Zoho lanzó CRM para pequeñas empresas, que arranca en 7 dólares mensuale. El nuevo CRM de Zoho, llamado Bigin, tien… https://t.co/BxZH7lUdWf

Search