Nuevo malware en Mac: OSX.Backdoor.Quimitchin

Tenemos el primer malware para Mac del año 2017. En esta ocasión, la gente de MalwareBytes ha descubierto este malware que al parecer ha estado sin ser detectado durante un período de tiempo grande. Todo hace indicar que el malware ha estado enfocado o tenía como objetivo los centros biomédicos de la investigación. El malware, a priori, es bastante sencillo. Consiste en un par de archivos. Un cliente y un archivo plist de configuración del cliente. Los hashes de los archivos pueden verse en el informe de MalwareBytes. 

El archivo .client es un script en perl ofuscado. Este script se encarga de comunicar con los servidores C&C y se conocen las direcciones y dominios a los que se conectan. El dominio eidk.hopto.org es admnistrador por el servicio DNS dinámico no-ip. El script también incluye código para tomar capturas de pantalla a través de comandos de shell. Curiosamente, se tiene un código para hacer esto utilizando el comando screencapture en Mac y el comando xwd en Linux. También puede obtener otros datos de interés del sistema.

Figura 1: Configuración del malware

La parte más interesante del script puede encontrarse en la sección __DATA__. Se encuentra un binario Mach-O, un segundo script de perl y una clase de Java. En la carpeta /tmp se escribe esto y se ejecuta. En el caso de la clase de Java, se ejecuta con apple.awt.UIElement establecido en true, lo cual significa que no aparece en el Dock. El binario en sí parece interesado, sobretodo, en conseguir capturas de pantalla y acceso a la cámara web, tal y como se ve en el análisis de los investigadores de MalwareBytes. 

La clase Java parece ser capaz de recibir comandos para realizar varias tareas, que incluyen otro método para capturar la pantalla, obtener el tamaño de la pantalla y la posición del cursor. Esta clase parece estar destinada a proporcionar una clase de funcionalidad de control remoto rudimentaria. MalwareBytes detectó este malware como OSX.Backdoor.Quimitchin, debudo a que los quimitchin eran espías aztecas que se infiltraban en otras tribus. Apple llamada a este malware Fruitfly y ha lanzado una actualización que se descargará automáticamente para proteger futuras infecciones.

IDStore para analizar URLs de ficheros .DS_Store

Los ficheros .DS_Store aparecen en muchísimos sitios webs. Los hemos visto en sitios como Apple.com o en Google.com debido a que Finder de Mac OS X los crea y si no se borran manualmente o con herramientas de terceros, como iBoost, entonces es fácil que en una actualización de un sitio web se suban por error. Analizar un .DS_Store puede dar a un auditor de seguridad una lista de ficheros que permita descubrir archivos o carpetas del servidor web que pudieran ser importantes.

Para sacar las URLs que se pueden generar de un fichero .DS_Store se puede hacer un análisis de strings o utilizar el script File Disclosure Browser, escrito en Perl, pero desde esta semana se puede utilizar también una pequeña herramienta llamada IDStore que permite analizar estos ficheros.

Figura 1: Ejecución de IDStore versión Java con un .DS_Store de Internet

La utilizar está en Source Forge, y hay dos versiones escritas en Java y C# para que puedan ser utilizadas en todas las plataformas, permitiendo comprobar además los códigos de error HTTP de las rutas generadas.

Figura 2: Resultados de Salida

Te recomendamos que tengas mucho cuidado a la hora de actualizar tus servidores web desde Mac OS X, no vaya a ser que subas un fichero .DS_Store que ponga al descubierto una carpeta backup_db o database_bk que pueda meterte en algún problema por una relajación den las prácticas de seguridad.