El grupo utiliza ingeniería social para invadir Mac e instalar una familia de malware – MacMagazine
money EL mandantefilial de ciberseguridad de Google Cloud, publicó un informe que muestra cómo los ciberdelincuentes pueden utilizar la ingeniería social para, con un simple comando, instalar una serie de malware, robar una gran cantidad de datos e incluso vigilar a los usuarios de Internet. macos.
La compañía informó de un caso específico en el que un usuario fue atraído por una cuenta de Telegram robada a una llamada en un entorno falso similar a Zoom, probablemente usando profundamente falso (vídeos realistas generados por inteligencia artificial) para hacerse pasar por una persona real.
En la llamada, los atacantes afirmaron que la computadora del usuario tenía problemas de audio y le indicaron que ejecutara comandos de «solución de problemas» en la Terminal, una técnica de ataque conocida como «Hacer clic en arreglar“, similar a lo que mencionamos anteriormente en el malware Matryoshka.
Lo que el usuario no sabía era que estaba siendo atacado por un grupo de amenazas norcoreano llamado UNC1069. Activos desde al menos 2018, utilizaron el comando como puerta de entrada para instalar una cadena de no menos de siete familias de malware diferentes en el ordenador de la víctima.
El primero de ellos fue el WAVESHAPERque servía para recopilar información del sistema (como procesos en ejecución y hardware) y descargar la siguiente: la HYPERCALLque se encargó de ampliar considerablemente el enorme control que ejercían los atacantes sobre la máquina infectada.
Fue el responsable de instalar el HIDDENCALL (para acceso directo al teclado y a los comandos del sistema), el SUGARLOADER (para garantizar que la cadena de malware permanezca activa incluso después de reiniciar) y el SILENCELIFT (que enviaba señales constantes sobre el estado de la máquina).
Después de todas estas garantías, el DEEPBREATHun malware que manipuló el sistema para otorgar acceso a las credenciales del llavero iCloud, mensajes de Telegram y datos de la aplicación Notes (Notas) y navegadores basados en Chromium, todos destinados a facilitar el robo de billeteras de criptomonedas.
Finalmente, con el CHROMEPUSHse instaló una extensión en el navegador de la víctima para registrar todo lo escrito, robar cookies y contraseñas de sesión e incluso tomar capturas de pantalla en intervalos definidos por los atacantes, lo que les dio a los atacantes poderes de espionaje efectivos.
Aunque estos ataques grandes y coordinados tienden a apuntar a propietarios o desarrolladores de activos de criptomonedas, también podrían, en teoría, apuntar a usuarios más comunes, quienes serían la puerta de entrada para atacar los sistemas de las grandes empresas donde trabajarían estas víctimas.
También es interesante observar cómo un simple comando puede resultar en un control enorme incluso en un sistema tradicionalmente considerado seguro, como macOS, aparte del uso de inteligencia artificial generativa como estrategia para permitir ataques de ingeniería social.
vía TechRadar
