MacSpy: Malware as a Service para OS X

MacSpy se anuncia como el spyware más sofisticado jamás creado para Mac y con el precio de gratis. La idea de un malware como un servicio o MaaS no es algo nuevo, pero se puede decir que es el primer paso que da esta idea en entornos OS X. Los autores de la plataforma afirman que crearon este malware debido a que los productos de Apple ganaron mucha popularidad en los últimos años. Además, indican que notaron falta de malware sofisticado, lo cual encaja con lo que Patrick Wardle comentó en su día. ¿Qué cosas tiene MacSpy que la hace especial? 

Las funciones de MacSpy según los autores, para la versión gratuita, son las típicas que podemos encontrar en otro tipo de RAT. Destaca, quizá, la sincronización con iCloud, las grabaciones de voz, la captura de pulsaciones de teclado, así como la captura cada 30 segundos del fondo de pantalla. En la imagen se puede visualizar las funciones ofertadas para la versión de demo. 

Figura 1: Características de la versión gratuita de MacSpy

Si observamos las funciones avanzadas de MacSpy, es decir, en la versión de pago, tenemos la posibilidad de ajustar el tiempo para las capturas de grabaciones y de pantalla que realice el software, cifrar un directorio en pocos segundos, quizá sea una funcionalidad optativa para un ataque ransom. Acceso a los emails y cuentas de redes sociales, capturar todos los archivos generados durante ese día y robarlos, etcétera.

Los comapñeros de AlienVault han analizado MacSpy. Se han dado de alta en MacSpy para estudiar el funcionamiento. Recibieron un correo electrónico en el que se proporciona las instrucciones, así como un archivo comprimido. Una vez se descomprime el archivo se observa que hay cuatro archivos: un binario de 64 bits denominado updated, otro binario de 64 bits llamado webkitproxy, otro archivo que es una librería llamado libevent-2.0.5.dylib y un archivo de configuración.

Figura 2: Correo electrónico enviado por MacSpy

La librería y el fichero webkitproxy están firmados por Tor, por lo que están relacionados con la función de Tor Onion. Los contenidos del archivo de configuración son una serie de directivas que tienen que ver con la configuración que tendrá MacSpy en su ejecución. El binario updated fue pasado por Virus Total obteniendo un resultado de 0 detecciones. El binario no está firmado digitalmente.

MacSpy tiene varias contramedidas que dificultan los esfuerzos del análisis. Para evitar la depuración, llama a ptrace() con la opción PT_DENY_ATTACH. Se trata de una comprobación anti-depurador común, la cual evita que los depuradores se unan al proceso. Además, MacSpy tiene código adicional que comprueba si se está ejecutando en un depurador. Además, MacSpy contiene comprobaciones contra el entorno de ejecución que pueden dificultar su ejecución en una máquina virtual. MacSpy también tiene opciones de persistencia, y lo hace a través de la creación de una entrada en la ruta $HOME/Library/LaunchAgents/com.apple.webkit.plist. Esto garantiza que el malware se ejecutará al inicio con el objetivo de continuar recopilando información.

MacSpy es una pieza interesante y un modelo de MaaS que, probablemente, comencemos a ver más en los próximos meses o años. Siempre se ha pensado que los usuarios de Mac están libres de malware, pero como puede verse el malware sigue aumentando en estos equipos. Seguiremos atentos a posibles noticias relacionadas con malware en sistemas Mac.

SpyNote RAT se hace pasar por Netflix para robarte

Cada día que pasa los dispositivos móviles se utilizan más y más. Los usuarios tienen un mayor apego y los utilizan con mayor frecuencia. La noticia de hoy nos habla de Netflix y un malware o RAT que se aprovecha de los usuarios para robarles información. La aplicación de Netflix tiene de millones de usuarios, por lo que ha captado la atención de los usuarios maliciosos, los cuales están explotando la popularidad de Netflix con el objetivo de propagar el malware. El equipo de investigación de ThreatLabZ encontró una falsa aplicación de Netflix, la cual resultó ser una variante de SpyNote RAT, un troyano que permite el acceso remoto.

SpyNote RAT permite realizar una variedad de funciones como, por ejemplo, activar el micrófono del dispositivo y escuchar las conversaciones en directo, ejecutar comandos en el dispositivo, copiar archivos desde el dispositivo y enviarlos a la ubicación de los atacantes, grabar capturas de pantalla, visualizar contactos, leer mensajes de SMS, etcétera. El Spyware se muestra como una aplicación de Netflix y una vez instalado muestra el icono encontrado en la aplicación de Netflix de Google Play. Tran pronto como el usuario hace clic en el icono de la app se ejecuta el malware. El icono desaparece de la pantalla y parece que no ocurre nada, pero sí ocurre. Es un truco entre los desarrolladores de malware, el usuario piensa que la aplicación puede haber sido eliminada.

Figura 1: Netflix fake

La app se pone en contacto con el C&C utilizando para ello servicios DNS gratuitos. La ejecución de comandos puede crear estragos en la víctima. La captura de pantalla y grabación de audio también es realizada de forma activa con este malware, por lo que el malware puede tomar capturas de pantalla de lo que ocurra en el terminal y utilizar el micrófono para grabar conversaciones o conversaciones cercanas al terminal. También, se produce un robo de SMS de dispositivos afectados, lo cual podría afectar a los TOTP. Por supuesto, la agenda es uno de los elementos que también se ven afectados. Hay que evitar la descarga y ejecución de aplicaciones de terceros o fuera de los market oficiales.

Malware en OS X: Adwind RAT regresa como JBifrost

El grupo de delincuentes que se encuentra detrás de Adwind RAT, uno de los troyanos de acceso remoto desplegados con más actividad, incluso en OSX, ha rebautizado su proyecto con el objetivo de volver al mercado del software malicioso. El nombre elegido para esta vuelta es el de JBifrost. Este malware apareció en Enero de 2012 bajo el nombre de Frutas RAT, y al año siguiente se renombró como Adwind RAT. Como las campañas de malware y la actividad de éste eran expuestos, los delincuentes cambiaban el nombre del malware una y otra vez.

Adwind fue rebautizada como Unrecom en febrero de 2014, como AlienSpy en octubre de 2014 y como JSocket RAT en junio de 2015. JSocket desaparece y JBifrost aparece tres meses más tarde. Después del informe de Kaspersky publicado en febrero de 2016, la ultima encarnación de la RAT conocida como JSocket cerró poco después. Los investigadores de Fortinet han comentado que Adwind fue rebautizada con una nueva interfaz gráfica de usuario, y sólo un pequeño conjunto de nuevas características en comparación a JSocket.

Figura 1: JBifrost y los métodos de pago

El nuevo JBifrost es ahora una comunidad cerrada. La página web JBifrost no está disponible para nadie más, a diferencia de los casos anteriores en los que cualquiera podría comprar la RAT, los usuarios necesitan un código de invitación para registrarse en el sitio web de JBifrost y comprar la RAT. Los delincuentes están vendiendo JBifrost como una suscripción mensual de 45 dólares el primer mes y 40 dólares para una renovación de la suscripción. Otro gran cambio en el funcionamiento está en cómo los delincuentes recogen el dinero. Anteriormente, se aceptaba pagos a través de PerfectMoney, CoinPayments, Advcash, EntroMoney y Bitcoin. Ahora, solo se pueden llevar a cabo los pagos a través de Bitcoin, probablemente debido a que los otros métodos de pago no son anónimos y puede dar lugar a la aplicación de la ley.

Figura 2: Aspecto que tenía como Frutas RAT

Como se ha mencionado anteriormente, JBifrost viene con cambios mínimos en comparación con Adwind. Fortinet indicó que detectó solo cambios menores que incluyen una nueva columna que muestra el estado del teclado de una víctima infectada y una nueva columna que muestra el título de la ventana actual de la víctima. En el momento del análisis, la gente de Fortinet indicó que JBifrost había sido descargada desde el sitio web 1566 veces, y que ha sido detectado en las campañas de distribución de malware actuales

OmniRat: malware corriendo en Mac OS X, Android y PC

OmniRAT

Mientras la policía de toda Europa lucha para desmantelar el uso del malware DroinJack, un malware similar ha surgido el cual puede controlar, no solo plataformas Android, sino también a los sistemas Windows, OS X y Linux. Además, este tipo de malware se está vendiendo abiertamente. La herramienta de control remoto, detectada por la empresa de seguridad Avast, se denomina OmniRat y parece que puede ser de origen alemán. El vendedor promete que la herramienta de administración o RAT puede funcionar en los dispositivos Android, así como que permite tomar el control total de los sistemas Windows y un cierto control de los ordenadores con sistemas OS X y Unix después de ser instalada en éstos.  

Avast investiga un incidente con un señuelo que se utiliza en Alemania, dónde la víctima recibe un mensaje de texto en el que se indica que para ver dicho mensaje se debe descargar una aplicación. Tras descargar la aplicación y echando un ojo a los permisos que solicita dicha aplicación se puede ver que muestra una larga lista de privilegios de acceso y privacidad. Si la víctima acepta dichos permisos, la aplicación tiene acceso a todas las partes del terminal. 

Figura 1: Lo que ofrece OmniRAT

Una vez instalado la aplicación OmniRAT resulta uy difícil deshacerse de él. ¿Qué acciones puede hacer la RAT? Eliminar software legítimo, controlar el software del dispositivo, realizar llamadas, robar archivos y datos privados, controlar el dispositivo en remoto a través del envío de códigos. Según Nikolaos Chrysaidos, que es analista de seguridad de Avast, se sabe que los datos recogidos por la versión personalizada de OmniRAT van dirigidos a la persona alemana que lo publicó y que se está enviando después a un dominio ruso, basado en un C&C. 

¿Por qué OmniRAT puede ser un problema mayor que DroidJack? Por el coste que tiene. El coste de DroidJack es de 200 dólares, pero OmniRAT reutiliza gran parte del mismo código, y sólo cuesta 25 dólares, por lo que es mucho más accesible en líneas generales. Además, dicho malware ofrece una garantía "de por vida", aunque seguramente sea sólo hasta que la policía de con su autor.

AlienSpy: Una Rata (R.A.T.) en Java que infecta OS X

AlienSpy es una R.A.T. (Remote Administration Tool) que está basada en el popular Frutas y Unrecom/Adwind, que ha estado circulando por la red durante este años de 2014. Según parece este tipo de malware se utilizará en las mismas campañas en las que fue utilizado Unrecom / Adwind. Este RAT es multiplataforma y se instala tanto en sistemas operativos OS X como Linux. Para saber como funciona es muy interesante ver el tráfico de una captura de red en formato pcap y la información que se puede obtener. En el análisis que desde Contagio se ha realizado podemos ver, tras un volcado de las strings que existen en memoria en el proceso de la RAT, diversos datos interesantes para un analista.

Por ejemplo, con el análisis de cadenas de una muestra se puede ver cuál es la dirección IP del panel de control a la que la RAT se conecta y el dominio en concreto. En este caso concreto analizado por ellos, el país es Estados Unidos, lo cual puede llamar la atención. Las direcciones IP encontradas son las siguientes:

• 204.45.207.40 con hostname 212.clients.instantdedis.com.
• 38.89.137.248.

La RAT está formada por los siguientes ficheros que son transfer.java, paymentadvice.jar, purchase order.java y purchaseorder.java, que aunque se denominen igual, hay que notar que no son el mismo fichero.

Figura 1: MD5 de los ficheros de esta RAT para que los puedas buscar en repositorios

La información sobre las evidencias y la RAT que han sido publicadas están disponibles en los siguientes enlaces:

• JAR original.
• Archivos pcap.

Todas las capturas de tráfico recogidas por los investigadores muestran que el tráfico de AlienSpy tiene campos idénticos, siguiendo un flujo GZIP, mientras que en OS X tienen distintos datos. Los archivos JAR que tienen el payload no tienen ningún malware empaquetado.

Figura 2: Captura de tráfico OS X Lion

Para evitar caer en infecciones de RATs escritas en Java en sistemas OS X es recomendable tener actualizado el sistema operativo, tener un antimalware en tiempo real y, más que recomendable, tener fortificadas las opciones de Java.