Π ΠΌΠ°ΡΡΠ΅ 2019 Π³ΠΎΠ΄Π° Π² VirusTotal, ΠΏΠΎΠΏΡΠ»ΡΡΠ½ΡΠΉ ΠΎΠ½Π»Π°ΠΉΠ½-ΡΠ΅ΡΠ²ΠΈΡ ΡΠΊΠ°Π½ΠΈΡΠΎΠ²Π°Π½ΠΈΡ, Π±ΡΠ» Π·Π°Π³ΡΡΠΆΠ΅Π½ Π½ΠΎΠ²ΡΠΉ ΠΎΠ±ΡΠ°Π·Π΅Ρ Π²ΡΠ΅Π΄ΠΎΠ½ΠΎΡΠ½ΠΎΠ³ΠΎ ΠΠ Π΄Π»Ρ macOS ΠΊΠΈΠ±Π΅ΡΠ³ΡΡΠΏΠΏΡ OceanLotus. ΠΡΠΏΠΎΠ»Π½ΡΠ΅ΠΌΡΠΉ ΡΠ°ΠΉΠ» Π±ΡΠΊΠ΄ΠΎΡΠ° ΠΎΠ±Π»Π°Π΄Π°Π΅Ρ ΡΠ΅ΠΌΠΈ ΠΆΠ΅ Π²ΠΎΠ·ΠΌΠΎΠΆΠ½ΠΎΡΡΡΠΌΠΈ, ΡΡΠΎ ΠΈ ΠΏΡΠ΅Π΄ΡΠ΄ΡΡΠ°Ρ ΠΈΠ·ΡΡΠ΅Π½Π½Π°Ρ Π½Π°ΠΌΠΈ Π²Π΅ΡΡΠΈΡ ΠΌΠ°Π»Π²Π°ΡΠΈ Π΄Π»Ρ macOS, Π½ΠΎ Π΅Π³ΠΎ ΡΡΡΡΠΊΡΡΡΠ° ΠΈΠ·ΠΌΠ΅Π½ΠΈΠ»Π°ΡΡ ΠΈ Π΅Π³ΠΎ ΡΡΠ°Π»ΠΎ ΡΠ»ΠΎΠΆΠ½Π΅Π΅ ΠΎΠ±Π½Π°ΡΡΠΆΠΈΡΡ. Π ΡΠΎΠΆΠ°Π»Π΅Π½ΠΈΡ, ΠΌΡ Π½Π΅ ΡΠΌΠΎΠ³Π»ΠΈ Π½Π°ΠΉΡΠΈ Π΄ΡΠΎΠΏΠΏΠ΅Ρ, ΡΠ²ΡΠ·Π°Π½Π½ΡΠΉ Ρ ΡΡΠΈΠΌ ΠΎΠ±ΡΠ°Π·ΡΠΎΠΌ, ΠΏΠΎΡΡΠΎΠΌΡ ΠΏΠΎΠΊΠ° Π½Π΅ Π·Π½Π°Π΅ΠΌ Π²Π΅ΠΊΡΠΎΡ Π·Π°ΡΠ°ΠΆΠ΅Π½ΠΈΡ.
ΠΠ΅Π΄Π°Π²Π½ΠΎ ΠΌΡ ΠΎΠΏΡΠ±Π»ΠΈΠΊΠΎΠ²Π°Π»ΠΈ
ΠΠ½Π°Π»ΠΈΠ·
Π ΡΠ»Π΅Π΄ΡΡΡΠΈΡ
ΡΡΠ΅Ρ
ΡΠ°ΡΡΡΡ
ΠΎΠΏΠΈΡΡΠ²Π°Π΅ΡΡΡ Π°Π½Π°Π»ΠΈΠ· ΠΎΠ±ΡΠ°Π·ΡΠ° Ρ Ρ
ΡΡΠ΅ΠΌ SHA-1 E615632C9998E4D3E5ACD8851864ED09B02C77D2
. Π€Π°ΠΉΠ» Π½Π°Π·ΡΠ²Π°Π΅ΡΡΡ flashlightd, Π°Π½ΡΠΈΠ²ΠΈΡΡΡΠ½ΡΠ΅ ΠΏΡΠΎΠ΄ΡΠΊΡΡ ESET Π΄Π΅ΡΠ΅ΠΊΡΠΈΡΡΡΡ Π΅Π³ΠΎ ΠΊΠ°ΠΊ OSX/OceanLotus.D.
ΠΠ½ΡΠΈΠΎΡΠ»Π°Π΄ΠΊΠ° ΠΈ Π·Π°ΡΠΈΡΠ° ΠΎΡ ΠΏΠ΅ΡΠΎΡΠ½ΠΈΡ
ΠΠ°ΠΊ Π²ΡΠ΅ macOS-Π±ΠΈΠ½Π°ΡΠ½ΠΈΠΊΠΈ OceanLotus, ΠΎΠ±ΡΠ°Π·Π΅Ρ ΡΠΏΠ°ΠΊΠΎΠ²Π°Π½ Ρ UPX, Π½ΠΎ Π±ΠΎΠ»ΡΡΠΈΠ½ΡΡΠ²ΠΎ ΡΡΠ΅Π΄ΡΡΠ² ΠΈΠ΄Π΅Π½ΡΠΈΡΠΈΠΊΠ°ΡΠΈΠΈ ΡΠΏΠ°ΠΊΠΎΠ²ΡΠΈΠΊΠΎΠ² Π½Π΅ ΡΠ°ΡΠΏΠΎΠ·Π½Π°ΡΡ Π΅Π³ΠΎ ΠΊΠ°ΠΊ ΡΠ°ΠΊΠΎΠ²ΠΎΠΉ. ΠΠ΅ΡΠΎΡΡΠ½ΠΎ, ΠΏΠΎΡΠΎΠΌΡ, ΡΡΠΎ ΠΎΠ½ΠΈ Π² ΠΎΡΠ½ΠΎΠ²Π½ΠΎΠΌ ΡΠΎΠ΄Π΅ΡΠΆΠ°Ρ ΠΏΠΎΠ΄ΠΏΠΈΡΡ, Π·Π°Π²ΠΈΡΡΡΡΡ ΠΎΡ Π½Π°Π»ΠΈΡΠΈΡ ΡΡΡΠΎΠΊΠΈ βUPXβ, ΠΊΡΠΎΠΌΠ΅ ΡΠΎΠ³ΠΎ, Mach-O ΡΠΈΠ³Π½Π°ΡΡΡΡ Π²ΡΡΡΠ΅ΡΠ°ΡΡΡΡ ΡΠ΅ΠΆΠ΅ ΠΈ Π½Π΅ ΡΠ°ΠΊ ΡΠ°ΡΡΠΎ ΠΎΠ±Π½ΠΎΠ²Π»ΡΡΡΡΡ. ΠΡΠ° ΠΎΡΠΎΠ±Π΅Π½Π½ΠΎΡΡΡ Π·Π°ΡΡΡΠ΄Π½ΡΠ΅Ρ ΡΡΠ°ΡΠΈΡΠ΅ΡΠΊΠΎΠ΅ ΠΎΠ±Π½Π°ΡΡΠΆΠ΅Π½ΠΈΠ΅. ΠΠ½ΡΠ΅ΡΠ΅ΡΠ½ΠΎ, ΡΡΠΎ ΠΏΠΎΡΠ»Π΅ ΡΠ°ΡΠΏΠ°ΠΊΠΎΠ²ΠΊΠΈ ΡΠΎΡΠΊΠ° Π²Ρ
ΠΎΠ΄Π° Π½Π°Ρ
ΠΎΠ΄ΠΈΡΡΡ Π² Π½Π°ΡΠ°Π»Π΅ ΡΠ°Π·Π΄Π΅Π»Π° __cfstring
Π² ΡΠ΅Π³ΠΌΠ΅Π½ΡΠ΅ .TEXT
. Π ΡΡΠΎΠΌ ΡΠ°Π·Π΄Π΅Π»Π΅ Π΅ΡΡΡ Π°ΡΡΠΈΠ±ΡΡΡ flag, ΠΊΠ°ΠΊ ΠΏΠΎΠΊΠ°Π·Π°Π½ΠΎ Π½Π° ΡΠΈΡΡΠ½ΠΊΠ΅ Π½ΠΈΠΆΠ΅.
Π ΠΈΡΡΠ½ΠΎΠΊ 1. ΠΡΡΠΈΠ±ΡΡΡ ΡΠ°Π·Π΄Π΅Π»Π° MACH-O __cfstring
ΠΠ°ΠΊ ΠΏΠΎΠΊΠ°Π·Π°Π½ΠΎ Π½Π° ΡΠΈΡΡΠ½ΠΊΠ΅ 2, ΡΠ°ΡΠΏΠΎΠ»ΠΎΠΆΠ΅Π½ΠΈΡ ΠΊΠΎΠ΄Π° Π² ΡΠ°Π·Π΄Π΅Π»Π΅ __cfstring
ΠΏΠΎΠ·Π²ΠΎΠ»ΡΠ΅Ρ ΠΎΠ±ΠΌΠ°Π½ΡΡΡ Π½Π΅ΠΊΠΎΡΠΎΡΡΠ΅ ΠΈΠ½ΡΡΡΡΠΌΠ΅Π½ΡΡ Π΄ΠΈΠ·Π°ΡΡΠ΅ΠΌΠ±Π»ΠΈΡΠΎΠ²Π°Π½ΠΈΡ, ΠΎΡΠΎΠ±ΡΠ°ΠΆΠ°Ρ ΠΊΠΎΠ΄ Π² Π²ΠΈΠ΄Π΅ ΡΡΡΠΎΠΊ.
Π ΠΈΡΡΠ½ΠΎΠΊ 2. ΠΠΎΠ΄ Π±ΡΠΊΠ΄ΠΎΡΠ° ΠΎΠΏΡΠ΅Π΄Π΅Π»ΡΠ΅ΡΡΡ IDA ΠΊΠ°ΠΊ Π΄Π°Π½Π½ΡΠ΅
ΠΠΎΡΠ»Π΅ Π·Π°ΠΏΡΡΠΊΠ° Π±ΠΈΠ½Π°ΡΠ½ΡΠΉ ΡΠ°ΠΉΠ» ΡΠΎΠ·Π΄Π°Π΅Ρ ΠΏΠΎΡΠΎΠΊ Π² ΠΊΠ°ΡΠ΅ΡΡΠ²Π΅ ΡΡΠ΅Π΄ΡΡΠ²Π° Π·Π°ΡΠΈΡΡ ΠΎΡ ΠΎΡΠ»Π°Π΄ΠΊΠΈ, Π΅Π΄ΠΈΠ½ΡΡΠ²Π΅Π½Π½ΠΎΠΉ ΡΠ΅Π»ΡΡ ΠΊΠΎΡΠΎΡΠΎΠ³ΠΎ ΡΠ²Π»ΡΠ΅ΡΡΡ ΠΏΠΎΡΡΠΎΡΠ½Π½Π°Ρ ΠΏΡΠΎΠ²Π΅ΡΠΊΠ° Π½Π°Π»ΠΈΡΠΈΡ Π΄Π΅Π±Π°Π³Π³Π΅ΡΠ°. ΠΠ»Ρ ΡΡΠΎΠ³ΠΎ ΠΏΠΎΡΠΎΠΊ:
β ΠΡΡΠ°Π΅ΡΡΡ ΠΎΡΡΠ΅ΠΏΠΈΡΡ Π»ΡΠ±ΠΎΠΉ Π΄Π΅Π±Π°Π³Π³Π΅Ρ, Π²ΡΠ·ΡΠ²Π°Ρ ptrace
Ρ PT_DENY_ATTACH
Π² ΠΊΠ°ΡΠ΅ΡΡΠ²Π΅ ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΠ° Π·Π°ΠΏΡΠΎΡΠ°
β ΠΡΠΎΠ²Π΅ΡΡΠ΅Ρ, ΠΎΡΠΊΡΡΡΡ Π»ΠΈ Π½Π΅ΠΊΠΎΡΠΎΡΡΠ΅ ΠΈΡΠΊΠ»ΡΡΠΈΡΠ΅Π»ΡΠ½ΡΠ΅ ΠΏΠΎΡΡΡ, Π²ΡΠ·ΡΠ²Π°Ρ ΡΡΠ½ΠΊΡΠΈΡ task_get_exception_ports
β ΠΡΠΎΠ²Π΅ΡΡΠ΅Ρ, ΠΏΠΎΠ΄ΠΊΠ»ΡΡΠ΅Π½ Π»ΠΈ Π΄Π΅Π±Π°Π³Π³Π΅Ρ, ΠΊΠ°ΠΊ ΠΏΠΎΠΊΠ°Π·Π°Π½ΠΎ Π½Π° ΡΠΈΡΡΠ½ΠΊΠ΅ Π½ΠΈΠΆΠ΅, ΠΏΡΡΠ΅ΠΌ ΠΏΡΠΎΠ²Π΅ΡΠΊΠΈ Π½Π°Π»ΠΈΡΠΈΡ ΡΠ»Π°Π³Π° P_TRACED
Π² ΡΠ΅ΠΊΡΡΠ΅ΠΌ ΠΏΡΠΎΡΠ΅ΡΡΠ΅
Π ΠΈΡΡΠ½ΠΎΠΊ 3. ΠΡΠΎΠ²Π΅ΡΠΊΠ° ΠΏΠΎΠ΄ΠΊΠ»ΡΡΠ΅Π½ΠΈΡ Π΄Π΅Π±Π°Π³Π³Π΅ΡΠ° ΠΏΠΎΡΡΠ΅Π΄ΡΡΠ²ΠΎΠΌ ΡΡΠ½ΠΊΡΠΈΠΈ sysctl
ΠΡΠ»ΠΈ ΡΡΠΎΡΠΎΠΆΠ΅Π²Π°Ρ ΡΡ
Π΅ΠΌΠ° ΠΎΠ±Π½Π°ΡΡΠΆΠΈΠ²Π°Π΅Ρ ΠΏΡΠΈΡΡΡΡΡΠ²ΠΈΠ΅ Π΄Π΅Π±Π°Π³Π³Π΅ΡΠ°, Π²ΡΠ·ΡΠ²Π°Π΅ΡΡΡ ΡΡΠ½ΠΊΡΠΈΡ exit
. ΠΡΠΎΠΌΠ΅ ΡΠΎΠ³ΠΎ, Π·Π°ΡΠ΅ΠΌ ΠΎΠ±ΡΠ°Π·Π΅Ρ ΠΏΡΠΎΠ²Π΅ΡΡΠ΅Ρ ΡΡΠ΅Π΄Ρ, Π²ΡΠΏΠΎΠ»Π½ΡΡ Π΄Π²Π΅ ΠΊΠΎΠΌΠ°Π½Π΄Ρ:
ioreg -l | grep -e "Manufacturer" ΠΈ sysctl hw.model
ΠΠΎΡΠ»Π΅ ΡΡΠΎΠ³ΠΎ ΠΎΠ±ΡΠ°Π·Π΅Ρ ΠΏΡΠΎΠ²Π΅ΡΡΠ΅Ρ Π²ΠΎΠ·Π²ΡΠ°ΡΠ°Π΅ΠΌΠΎΠ΅ Π·Π½Π°ΡΠ΅Π½ΠΈΠ΅ ΠΏΠΎ ΠΆΠ΅ΡΡΠΊΠΎ Π·Π°ΠΊΠΎΠ΄ΠΈΡΠΎΠ²Π°Π½Π½ΠΎΠΌΡ ΡΠΏΠΈΡΠΊΡ ΡΡΡΠΎΠΊ ΠΈΠ·Π²Π΅ΡΡΠ½ΡΡ ΡΠΈΡΡΠ΅ΠΌ Π²ΠΈΡΡΡΠ°Π»ΠΈΠ·Π°ΡΠΈΠΈ: acle, vmware, virtualbox ΠΈΠ»ΠΈ parallels. ΠΠ°ΠΊΠΎΠ½Π΅Ρ, ΡΠ»Π΅Π΄ΡΡΡΠ°Ρ ΠΊΠΎΠΌΠ°Π½Π΄Π° ΠΏΡΠΎΠ²Π΅ΡΡΠ΅Ρ, ΡΠ²Π»ΡΠ΅ΡΡΡ Π»ΠΈ ΠΌΠ°ΡΠΈΠ½Π° ΠΎΠ΄Π½ΠΎΠΉ ΠΈΠ· ΡΠ»Π΅Π΄ΡΡΡΠΈΡ βMBPβ, βMBAβ, βMBβ, βMMβ, βIMβ, βMPβ and βXSβ. ΠΡΠΎ ΠΊΠΎΠ΄Ρ ΠΌΠΎΠ΄Π΅Π»ΠΈ ΡΠΈΡΡΠ΅ΠΌΡ, Π½Π°ΠΏΡΠΈΠΌΠ΅Ρ, βMBPβ ΠΎΠ·Π½Π°ΡΠ°Π΅Ρ MacBook Pro, βMBAβ β MacBook Air ΠΈ Ρ. Π΄.
system_profiler SPHardwareDataType 2>/dev/null | awk '/Boot ROM Version/ {split($0, line, ":");printf("%s", line[2]);}
ΠΡΠ½ΠΎΠ²Π½ΡΠ΅ Π΄ΠΎΠΏΠΎΠ»Π½Π΅Π½ΠΈΡ
ΠΠ΅ΡΠΌΠΎΡΡΡ Π½Π° ΡΠΎ, ΡΡΠΎ ΠΊΠΎΠΌΠ°Π½Π΄Ρ Π±ΡΠΊΠ΄ΠΎΡΠ° Π½Π΅ ΠΈΠ·ΠΌΠ΅Π½ΠΈΠ»ΠΈΡΡ ΡΠΎ Π²ΡΠ΅ΠΌΠ΅Π½ ΠΈΡΡΠ»Π΅Π΄ΠΎΠ²Π°Π½ΠΈΡ Trend Micro, ΠΌΡ Π·Π°ΠΌΠ΅ΡΠΈΠ»ΠΈ Π½Π΅ΡΠΊΠΎΠ»ΡΠΊΠΎ Π΄ΡΡΠ³ΠΈΡ ΠΌΠΎΠ΄ΠΈΡΠΈΠΊΠ°ΡΠΈΠΉ. C&C-ΡΠ΅ΡΠ²Π΅ΡΡ, ΠΈΡΠΏΠΎΠ»ΡΠ·ΡΠ΅ΠΌΡΠ΅ Π² ΡΡΠΎΠΌ ΠΎΠ±ΡΠ°Π·ΡΠ΅, Π΄ΠΎΠ²ΠΎΠ»ΡΠ½ΠΎ Π½ΠΎΠ²ΡΠ΅, Π΄Π°ΡΠ° ΠΈΡ ΡΠΎΠ·Π΄Π°Π½ΠΈΡ β 22.10.2018.
β daff.faybilodeau[.]com
β sarc.onteagleroad[.]com
β au.charlineopkesston[.]com
Π Π΅ΡΡΡΡ URL ΠΈΠ·ΠΌΠ΅Π½ΠΈΠ»ΡΡ Π½Π° /dp/B074WC4NHW/ref=gbps_img_m-9_62c3_750e6b35
.
ΠΠ΅ΡΠ²ΡΠΉ ΠΏΠ°ΠΊΠ΅Ρ, ΠΎΡΠΏΡΠ°Π²Π»ΡΠ΅ΠΌΡΠΉ Π½Π° C&C-ΡΠ΅ΡΠ²Π΅Ρ, ΡΠΎΠ΄Π΅ΡΠΆΠΈΡ Π±ΠΎΠ»ΡΡΠ΅ ΠΈΠ½ΡΠΎΡΠΌΠ°ΡΠΈΠΈ ΠΎ Ρ
ΠΎΡΡ-ΠΌΠ°ΡΠΈΠ½Π΅, Π²ΠΊΠ»ΡΡΠ°Ρ Π²ΡΠ΅ Π΄Π°Π½Π½ΡΠ΅, ΡΠΎΠ±ΠΈΡΠ°Π΅ΠΌΡΠ΅ ΠΊΠΎΠΌΠ°Π½Π΄Π°ΠΌΠΈ ΠΈΠ· ΡΠ°Π±Π»ΠΈΡΡ Π½ΠΈΠΆΠ΅.
ΠΠΎΠΌΠΈΠΌΠΎ ΡΡΠΎΠ³ΠΎ, ΠΈΠ·ΠΌΠ΅Π½Π΅Π½ΠΈΡ ΠΊΠΎΠ½ΡΠΈΠ³ΡΡΠ°ΡΠΈΠΈ, ΠΎΠ±ΡΠ°Π·Π΅Ρ ΠΈΡΠΏΠΎΠ»ΡΠ·ΡΠ΅Ρ Π΄Π»Ρ ΡΠ΅ΡΠ΅Π²ΠΎΠΉ ΡΠΈΠ»ΡΡΡΠ°ΡΠΈΠΈ Π½Π΅ Π±ΠΈΠ±Π»ΠΈΠΎΡΠ΅ΠΊΡ gFjMXBgyXWULmVVVzyxy
, Π΄ΠΎΠΏΠΎΠ»Π½Π΅Π½Π½ΡΠΌ Π½ΡΠ»ΡΠΌΠΈ. ΠΠ°ΠΆΠ΄ΡΠΉ ΡΠ°ΠΉΠ» ΡΠ°ΡΡΠΈΡΡΠΎΠ²ΡΠ²Π°Π΅ΡΡΡ ΠΈ ΡΠΎΡ
ΡΠ°Π½ΡΠ΅ΡΡΡ ΠΊΠ°ΠΊ /tmp/store
, Π° ΠΏΠΎΠΏΡΡΠΊΠ° Π΅Π³ΠΎ Π·Π°Π³ΡΡΠ·ΠΈΡΡ ΠΊΠ°ΠΊ Π±ΠΈΠ±Π»ΠΈΠΎΡΠ΅ΠΊΡ ΡΠ΄Π΅Π»Π°Π½Π° Ρ ΠΈΡΠΏΠΎΠ»ΡΠ·ΠΎΠ²Π°Π½ΠΈΠ΅ΠΌ ΡΡΠ½ΠΊΡΠΈΠΈ dlopen
, Π±ΡΠΊΠ΄ΠΎΡ ΠΈΠ·Π²Π»Π΅ΠΊΠ°Π΅Ρ ΡΠΊΡΠΏΠΎΡΡΠΈΡΠΎΠ²Π°Π½Π½ΡΠ΅ ΡΡΠ½ΠΊΡΠΈΠΈ Boriry
ΠΈ ChadylonV
, ΠΊΠΎΡΠΎΡΡΠ΅, ΠΏΠΎ Π²ΡΠ΅ΠΉ Π²ΠΈΠ΄ΠΈΠΌΠΎΡΡΠΈ, ΠΎΡΠ²Π΅ΡΠ°ΡΡ Π·Π° ΡΠ΅ΡΠ΅Π²ΠΎΠ΅ Π²Π·Π°ΠΈΠΌΠΎΠ΄Π΅ΠΉΡΡΠ²ΠΈΠ΅ Ρ ΡΠ΅ΡΠ²Π΅ΡΠΎΠΌ. Π£ Π½Π°Ρ Π½Π΅Ρ Π΄ΡΠΎΠΏΠΏΠ΅ΡΠ° ΠΈΠ»ΠΈ Π΄ΡΡΠ³ΠΈΡ
ΡΠ°ΠΉΠ»ΠΎΠ² ΠΈΠ· ΠΈΡΡ
ΠΎΠ΄Π½ΠΎΠ³ΠΎ ΠΌΠ΅ΡΡΠΎΠΏΠΎΠ»ΠΎΠΆΠ΅Π½ΠΈΡ ΠΎΠ±ΡΠ°Π·ΡΠ°, ΠΏΠΎΡΡΠΎΠΌΡ ΠΌΡ Π½Π΅ ΠΌΠΎΠΆΠ΅ΠΌ ΠΏΡΠΎΠ°Π½Π°Π»ΠΈΠ·ΠΈΡΠΎΠ²Π°ΡΡ ΡΡΡ Π±ΠΈΠ±Π»ΠΈΠΎΡΠ΅ΠΊΡ. ΠΠΎΠ»Π΅Π΅ ΡΠΎΠ³ΠΎ, ΠΏΠΎΡΠΊΠΎΠ»ΡΠΊΡ ΠΊΠΎΠΌΠΏΠΎΠ½Π΅Π½Ρ Π·Π°ΡΠΈΡΡΠΎΠ²Π°Π½, YARA-ΠΏΡΠ°Π²ΠΈΠ»ΠΎ, ΠΎΡΠ½ΠΎΠ²Π°Π½Π½ΠΎΠ΅ Π½Π° ΡΡΠΈΡ
ΡΡΡΠΎΠΊΠ°Ρ
, Π½Π΅ Π±ΡΠ΄Π΅Ρ ΡΠΎΠΎΡΠ²Π΅ΡΡΡΠ²ΠΎΠ²Π°ΡΡ ΡΠ°ΠΉΠ»Ρ, Π½Π°ΠΉΠ΄Π΅Π½Π½ΠΎΠΌΡ Π½Π° Π΄ΠΈΡΠΊΠ΅.
ΠΠ°ΠΊ ΠΎΠΏΠΈΡΠ°Π½ΠΎ Π² Π²ΡΡΠ΅ΡΠΏΠΎΠΌΡΠ½ΡΡΠΎΠΉ ΡΡΠ°ΡΡΠ΅, ΡΠΎΠ·Π΄Π°Π΅ΡΡΡ cliendID. ΠΡΠΎΡ ΠΈΠ΄Π΅Π½ΡΠΈΡΠΈΠΊΠ°ΡΠΎΡ ΡΠ²Π»ΡΠ΅ΡΡΡ Ρ Π΅ΡΠ΅ΠΌ MD5 Π²ΠΎΠ·Π²ΡΠ°ΡΠ°Π΅ΠΌΠΎΠ³ΠΎ Π·Π½Π°ΡΠ΅Π½ΠΈΡ ΠΎΠ΄Π½ΠΎΠΉ ΠΈΠ· ΡΠ»Π΅Π΄ΡΡΡΠΈΡ ΠΊΠΎΠΌΠ°Π½Π΄:
β ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformSerialNumber/ { split($0, line, """); printf("%s", line[4]); }'
β ioreg -rd1 -c IOPlatformExpertDevice | awk '/IOPlatformUUID/ { split($0, line, """); printf("%s", line[4]); }'
β ifconfig en0 | awk '/ether /{print $2}'
(ΠΏΠΎΠ»ΡΡΠΈΡΡ MAC Π°Π΄ΡΠ΅Ρ)
β Π½Π΅ΠΈΠ·Π²Π΅ΡΡΠ½Π°Ρ ΠΊΠΎΠΌΠ°Π½Π΄Π° («x1ex72x0a
«), ΠΊΠΎΡΠΎΡΠ°Ρ ΠΈΡΠΏΠΎΠ»ΡΠ·ΡΠ΅ΡΡΡ Π² ΠΏΡΠ΅Π΄ΡΠ΄ΡΡΠΈΡ
ΠΎΠ±ΡΠ°Π·ΡΠ°Ρ
ΠΠ΅ΡΠ΅Π΄ Ρ
Π΅ΡΠΈΡΠΎΠ²Π°Π½ΠΈΠ΅ΠΌ ΠΊ Π²ΠΎΠ·Π²ΡΠ°ΡΠ°Π΅ΠΌΠΎΠΌΡ Π·Π½Π°ΡΠ΅Π½ΠΈΡ Π΄ΠΎΠ±Π°Π²Π»ΡΠ΅ΡΡΡ ΡΠΈΠΌΠ²ΠΎΠ» Β«0Β» ΠΈΠ»ΠΈ Β«1Β», ΡΠΊΠ°Π·ΡΠ²Π°ΡΡΠΈΠΉ Π½Π° Π½Π°Π»ΠΈΡΠΈΠ΅ root ΠΏΡΠΈΠ²ΠΈΠ»Π΅Π³ΠΈΠΉ. ΠΡΠΎΡ clientID Ρ
ΡΠ°Π½ΠΈΡΡΡ Π² /Library/Storage/File System/HFS/25cf5d02-e50b-4288-870a-528d56c3cf6e/pivtoken.appex
, Π΅ΡΠ»ΠΈ ΠΊΠΎΠ΄ Π·Π°ΠΏΡΡΠ΅Π½ ΠΎΡ root ΠΈΠ»ΠΈ Π² ~/Library/SmartCardsServices/Technology/PlugIns/drivers/snippets.ecgML Π²ΠΎ Π²ΡΠ΅Ρ
ΠΎΡΡΠ°Π»ΡΠ½ΡΡ
ΡΠ»ΡΡΠ°ΡΡ
. Π€Π°ΠΉΠ» ΠΎΠ±ΡΡΠ½ΠΎ ΡΠΊΡΡΡ Ρ ΠΏΠΎΠΌΠΎΡΡΡ ΡΡΠ½ΠΊΡΠΈΠΈ touch βt
ΡΠΎ ΡΠ»ΡΡΠ°ΠΉΠ½ΡΠΌ Π·Π½Π°ΡΠ΅Π½ΠΈΠ΅ΠΌ.
Π Π°ΡΡΠΈΡΡΠΎΠ²ΠΊΠ° ΡΡΡΠΎΠΊ
ΠΠ°ΠΊ ΠΈ Π² ΠΏΡΠ΅Π΄ΡΠ΄ΡΡΠΈΡ
Π²Π°ΡΠΈΠ°Π½ΡΠ°Ρ
, ΡΡΡΠΎΠΊΠΈ Π·Π°ΡΠΈΡΡΠΎΠ²Π°Π½Ρ Ρ ΠΈΡΠΏΠΎΠ»ΡΠ·ΠΎΠ²Π°Π½ΠΈΠ΅ΠΌ AES-256-CBC (ΡΠ΅ΡΡΠ½Π°Π΄ΡΠ°ΡΠ΅ΡΠΈΡΠ½ΡΠΉ ΠΊΠ»ΡΡ: 9D7274AD7BCEF0DED29BDBB428C251DF8B350B92
Π΄ΠΎΠΏΠΎΠ»Π½Π΅Π½ Π½ΡΠ»ΡΠΌΠΈ, Π° IV Π·Π°ΠΏΠΎΠ»Π½Π΅Π½ Π½ΡΠ»ΡΠΌΠΈ) ΠΏΠΎΡΡΠ΅Π΄ΡΡΠ²ΠΎΠΌ ΡΡΠ½ΠΊΡΠΈΠΈ
ΠΠ½Π°Ρ ΠΏΡΠΎΡΠΎΡΠΈΠΏ ΡΡΠ½ΠΊΡΠΈΠΈ decrypt, ΡΠΊΡΠΈΠΏΡ Π½Π°Ρ ΠΎΠ΄ΠΈΡ Π²ΡΠ΅ ΠΏΠ΅ΡΠ΅ΠΊΡΠ΅ΡΡΠ½ΡΠ΅ ΡΡΡΠ»ΠΊΠΈ Π½Π° ΡΡΡ ΡΡΠ½ΠΊΡΠΈΡ, Π²ΡΠ΅ Π°ΡΠ³ΡΠΌΠ΅Π½ΡΡ, Π·Π°ΡΠ΅ΠΌ ΡΠ°ΡΡΠΈΡΡΠΎΠ²ΡΠ²Π°Π΅Ρ Π΄Π°Π½Π½ΡΠ΅ ΠΈ ΠΏΠΎΠΌΠ΅ΡΠ°Π΅Ρ ΠΏΡΠΎΡΡΠΎΠΉ ΡΠ΅ΠΊΡΡ Π²Π½ΡΡΡΠΈ ΠΊΠΎΠΌΠΌΠ΅Π½ΡΠ°ΡΠΈΡ ΠΏΠΎ Π°Π΄ΡΠ΅ΡΡ ΠΏΠ΅ΡΠ΅ΠΊΡΠ΅ΡΡΠ½ΠΎΠΉ ΡΡΡΠ»ΠΊΠΈ. Π§ΡΠΎΠ±Ρ ΡΠΊΡΠΈΠΏΡ ΡΠ°Π±ΠΎΡΠ°Π» ΠΏΡΠ°Π²ΠΈΠ»ΡΠ½ΠΎ, Π² Π½Π΅ΠΌ Π΄ΠΎΠ»ΠΆΠ΅Π½ Π±ΡΡΡ ΡΡΡΠ°Π½ΠΎΠ²Π»Π΅Π½ ΠΏΠΎΠ»ΡΠ·ΠΎΠ²Π°ΡΠ΅Π»ΡΡΠΊΠΈΠΉ Π°Π»ΡΠ°Π²ΠΈΡ, ΠΈΡΠΏΠΎΠ»ΡΠ·ΡΠ΅ΠΌΡΠΉ ΡΡΠ½ΠΊΡΠΈΠ΅ΠΉ Π΄Π΅ΠΊΠΎΠ΄ΠΈΡΠΎΠ²Π°Π½ΠΈΡ base64, ΠΈ Π΄ΠΎΠ»ΠΆΠ½Π° Π±ΡΡΡ ΠΎΠΏΡΠ΅Π΄Π΅Π»Π΅Π½Π° Π³Π»ΠΎΠ±Π°Π»ΡΠ½Π°Ρ ΠΏΠ΅ΡΠ΅ΠΌΠ΅Π½Π½Π°Ρ, ΡΠΎΠ΄Π΅ΡΠΆΠ°ΡΠ°Ρ Π΄Π»ΠΈΠ½Ρ ΠΊΠ»ΡΡΠ° (Π² Π΄Π°Π½Π½ΠΎΠΌ ΡΠ»ΡΡΠ°Π΅ DWORD, ΡΠΌ. ΡΠΈΡΡΠ½ΠΎΠΊ 4).
Π ΠΈΡΡΠ½ΠΎΠΊ 4. ΠΠΏΡΠ΅Π΄Π΅Π»Π΅Π½ΠΈΠ΅ Π³Π»ΠΎΠ±Π°Π»ΡΠ½ΠΎΠΉ ΠΏΠ΅ΡΠ΅ΠΌΠ΅Π½Π½ΠΎΠΉ key_len
Π ΠΎΠΊΠ½Π΅ Function ΠΌΠΎΠΆΠ½ΠΎ Π²ΡΠ·Π²Π°ΡΡ ΠΏΡΠ°Π²ΠΎΠΉ ΠΊΠ½ΠΎΠΏΠΊΠΎΠΉ ΠΌΡΡΠΈ ΡΡΠ½ΠΊΡΠΈΡ ΡΠ°ΡΡΠΈΡΡΠΎΠ²ΠΊΠΈ ΠΈ ΠΊΠ»ΠΈΠΊΠ½ΡΡΡ Β«ΠΠ·Π²Π»Π΅ΡΡ ΠΈ ΡΠ°ΡΡΠΈΡΡΠΎΠ²Π°ΡΡ Π°ΡΠ³ΡΠΌΠ΅Π½ΡΡΒ». Π‘ΡΠ΅Π½Π°ΡΠΈΠΉ Π΄ΠΎΠ»ΠΆΠ΅Π½ ΠΏΠΎΠΌΠ΅ΡΠ°ΡΡ ΡΠ°ΡΡΠΈΡΡΠΎΠ²Π°Π½Π½ΡΠ΅ ΡΡΡΠΎΠΊΠΈ Π² ΠΊΠΎΠΌΠΌΠ΅Π½ΡΠ°ΡΠΈΠΈ, ΠΊΠ°ΠΊ ΠΏΠΎΠΊΠ°Π·Π°Π½ΠΎ Π½Π° ΡΠΈΡΡΠ½ΠΊΠ΅ 5.
Π ΠΈΡΡΠ½ΠΎΠΊ 5. Π Π°ΡΡΠΈΡΡΠΎΠ²Π°Π½Π½ΡΠΉ ΡΠ΅ΠΊΡΡ ΠΏΠΎΠΌΠ΅ΡΠ΅Π½ Π² ΠΊΠΎΠΌΠΌΠ΅Π½ΡΠ°ΡΠΈΠΈ
Π’Π°ΠΊΠΈΠΌ ΠΎΠ±ΡΠ°Π·ΠΎΠΌ ΡΠ°ΡΡΠΈΡΡΠΎΠ²Π°Π½Π½ΡΠ΅ ΡΡΡΠΎΠΊΠΈ ΡΠ΄ΠΎΠ±Π½ΠΎ ΡΠ°Π·ΠΌΠ΅ΡΠ°ΡΡΡΡ Π²ΠΌΠ΅ΡΡΠ΅ Π² ΠΎΠΊΠ½Π΅ IDA xrefs Π΄Π»Ρ ΡΡΠΎΠΉ ΡΡΠ½ΠΊΡΠΈΠΈ, ΠΊΠ°ΠΊ ΠΏΠΎΠΊΠ°Π·Π°Π½ΠΎ Π½Π° ΡΠΈΡΡΠ½ΠΊΠ΅ 6.
Π ΠΈΡΡΠ½ΠΎΠΊ 6. Xrefs to ΡΡΠ½ΠΊΡΠΈΠΈ f_decrypt
Π€ΠΈΠ½Π°Π»ΡΠ½ΡΠΉ Π²Π°ΡΠΈΠ°Π½Ρ ΡΡΠ΅Π½Π°ΡΠΈΡ ΠΌΠΎΠΆΠ½ΠΎ Π½Π°ΠΉΡΠΈ Π½Π°
ΠΡΠ²ΠΎΠ΄
ΠΠ°ΠΊ ΡΠΆΠ΅ Π±ΡΠ»ΠΎ ΡΠΊΠ°Π·Π°Π½ΠΎ, OceanLotus ΠΏΠΎΡΡΠΎΡΠ½Π½ΠΎ ΡΠΎΠ²Π΅ΡΡΠ΅Π½ΡΡΠ²ΡΡΡ ΠΈ ΠΎΠ±Π½ΠΎΠ²Π»ΡΡΡ ΡΠ²ΠΎΠΉ Π½Π°Π±ΠΎΡ ΠΈΠ½ΡΡΡΡΠΌΠ΅Π½ΡΠΎΠ². ΠΠ° ΡΡΠΎΡ ΡΠ°Π· ΠΊΠΈΠ±Π΅ΡΠ³ΡΡΠΏΠΏΠ° ΡΡΠΎΠ²Π΅ΡΡΠ΅Π½ΡΡΠ²ΠΎΠ²Π°Π»Π° Π²ΡΠ΅Π΄ΠΎΠ½ΠΎΡΠ½ΠΎΠ΅ ΠΠ Π΄Π»Ρ ΡΠ°Π±ΠΎΡΡ Ρ ΠΠ°Ρ-ΠΏΠΎΠ»ΡΠ·ΠΎΠ²Π°ΡΠ΅Π»ΡΠΌΠΈ. ΠΠΎΠ΄ Π½Π΅ ΡΠΈΠ»ΡΠ½ΠΎ ΠΈΠ·ΠΌΠ΅Π½ΠΈΠ»ΡΡ, Π½ΠΎ, ΠΏΠΎΡΠΊΠΎΠ»ΡΠΊΡ ΠΌΠ½ΠΎΠ³ΠΈΠ΅ ΠΠ°Ρ-ΠΏΠΎΠ»ΡΠ·ΠΎΠ²Π°ΡΠ΅Π»ΠΈ ΠΈΠ³Π½ΠΎΡΠΈΡΡΡΡ ΠΏΡΠΎΠ΄ΡΠΊΡΡ Π΄Π»Ρ Π±Π΅Π·ΠΎΠΏΠ°ΡΠ½ΠΎΡΡΠΈ, Π·Π°ΡΠΈΡΠ° ΠΌΠ°Π»Π²Π°ΡΠΈ ΠΎΡ ΠΎΠ±Π½Π°ΡΡΠΆΠ΅Π½ΠΈΡ ΠΈΠΌΠ΅Π΅Ρ Π²ΡΠΎΡΠΎΡΡΠ΅ΠΏΠ΅Π½Π½ΠΎΠ΅ Π·Π½Π°ΡΠ΅Π½ΠΈΠ΅.
ΠΡΠΎΠ΄ΡΠΊΡΡ ESET ΡΠΆΠ΅ Π΄Π΅ΡΠ΅ΠΊΡΠΈΡΠΎΠ²Π°Π»ΠΈ ΡΡΠΎΡ ΡΠ°ΠΉΠ» Π½Π° ΠΌΠΎΠΌΠ΅Π½Ρ ΠΈΡΡΠ»Π΅Π΄ΠΎΠ²Π°Π½ΠΈΡ. ΠΠΎΡΠΊΠΎΠ»ΡΠΊΡ ΡΠ΅ΡΠ΅Π²Π°Ρ Π±ΠΈΠ±Π»ΠΈΠΎΡΠ΅ΠΊΠ°, ΠΈΡΠΏΠΎΠ»ΡΠ·ΡΠ΅ΠΌΠ°Ρ Π΄Π»Ρ C&C-ΠΊΠΎΠΌΠΌΡΠ½ΠΈΠΊΠ°ΡΠΈΠΈ, ΡΠ΅ΠΏΠ΅ΡΡ Π·Π°ΡΠΈΡΡΠΎΠ²Π°Π½Π° Π½Π° Π΄ΠΈΡΠΊΠ΅, ΡΠΎΡΠ½ΡΠΉ ΡΠ΅ΡΠ΅Π²ΠΎΠΉ ΠΏΡΠΎΡΠΎΠΊΠΎΠ», ΠΈΡΠΏΠΎΠ»ΡΠ·ΡΠ΅ΠΌΡΠΉ Π°ΡΠ°ΠΊΡΡΡΠΈΠΌΠΈ, ΠΏΠΎΠΊΠ° Π½Π΅ΠΈΠ·Π²Π΅ΡΡΠ΅Π½.
ΠΠ½Π΄ΠΈΠΊΠ°ΡΠΎΡΡ ΠΊΠΎΠΌΠΏΡΠΎΠΌΠ΅ΡΠ°ΡΠΈΠΈ
ΠΠ½Π΄ΠΈΠΊΠ°ΡΠΎΡΡ ΠΊΠΎΠΌΠΏΡΠΎΠΌΠ΅ΡΠ°ΡΠΈΠΈ, Π° ΡΠ°ΠΊΠΆΠ΅ Π°ΡΡΠΈΠ±ΡΡΡ MITRE ATT&CK ΡΠ°ΠΊΠΆΠ΅ Π΄ΠΎΡΡΡΠΏΠ½Ρ Π½Π°
ΠΡΡΠΎΡΠ½ΠΈΠΊ: habr.com