Nueva versión del troyano OceanLotus para macOS hace saltar las alertas

El grupo vietnamita OceanLotus ha evolucionado su troyano para Mac creando lo que los investigadores de Palo Alto Networks llaman “uno de los backdoors más avanzados que hemos visto en macOS hasta la fecha”. Esta nueva redención del malware ha añadido documentos señuelo, codificación de cadenas, modularidad, y un personalizado protocolo de tráfico con cifrado. Como en anteriores versiones, el malware está siendo usado principalmente en el propio Vietnam.

En un post publicado el jueves en el blog de la unidad 42 del equipo de inteligencia de Palo Alto se reportó que esta versión ha estado activa durante más de una año, pero fue liberada a partir del pasado mes de julio. Aprovechando los bajos niveles de detección de algunos antivirus, el backdoor se distribuye a través de documentos en formato Zip (normalmente a través de un email). Este archivo contiene un directorio con lo que aparenta ser un documento de Microsoft Word, pero en realidad es un bulto de aplicación que oculta al troyano. Esta es una notable diferencia respecto a otros malwares de MacOS, incluyendo a las anteriores versiones de OceanLotus backdoor, ya que la practica más común es suplantar un instalador de aplicaciones para programas como Adobe Flash.

Figura 1: Esquema de funcionamiento de OceanLotus Malware.

Para disipar sospechas, esta nueva variante abre un documento señuelo, un truco que es mucho más común ver en los malware de Windows. Además la falta de líneas de comando y cadenas sospechosas ayudan a ocultar su malicioso propósito. Otra de las novedades de este malware es su protocolo binario personalizado para comunicarse con el servidor, estas comunicaciones se hacen a través de del puerto 443 vía TCP, un puerto que es normal que no sea bloqueado por los cortafuegos tradicionales debido a su uso en conexiones HTTP. En este mismo año los investigadores de FireEye/Mandiant han identificado como los promotores de diferentes campañas maliciosas al grupo OceanLotus, de hecho se puede afirmar con casi total seguridad que este grupo también ha estado detrás de la Operación Colbat Kitty, un sofisticado ataque de Spear Phishing cuyo objetivo era una compañía asiática.

XCode 8 sustituirá ficheros ZIP por el formato XIP para distribuir apps de forma segura

Ya en la reciente versión pública de XCode 8 beta, Apple ha puesto en marcha la utilización del formato de fichero XIP para distribuir aplicaciones, que no es más que un fichero comprimido ZIP pero que va cifrado y firmado por un certificado digital, lo que evitaría que una vez que una app fuera creada con XCode 8 pudiera ser alterada. Este formato no es que sea precisamente nuevo, ya que desde los años 90 está disponible en muchos sistemas operativos - incluido el MS/DOS - y por supuesto, también está disponible en las diferentes versiones de los sistemas operativos Mac OS X.

Si accedemos a la ayuda del formato XIP desde el terminal de comandos de OS X utilizado el comando man xip, podremos acceder a los detalles de este formato.

Figura 1: Descripción del formato ZIP en el manual de OS X

Las quejas de los programadores en los foros de Apple vienen debido a la lentitud que supone la verificación de apps comprimidas con XIP, ya que resulta como el doble o un poco más de tiempo - dependiendo del tamaño, lo que se tarda en descomprimir.

Figura 2: Argumentos para la creación y descompresión del formato

No obstante, Apple no está dispuesta a que le vuelva a pasar cosas similares a XCodeGhost - malware que infectaba las apps desde versiones XCode piratas - en el futuro, y está tomando todas las medidas posibles para evitarlo.

Tip: Crear un archivo zip cifrado con contraseña en OS X

Es algo básico, pero nos lo han preguntado ya varias personas, así que vamos a hacer un post rápido para ellas. La pregunta es ¿cómo generar un archivo comprimido que esté cifrado y protegido por una contraseña?. En Mac OS X es muy sencillo, basta con utilizar el comando zip -e tal y como se ve en la imagen siguiente.

Figura 1: Creando un fichero zip desde el terminal cifrado y protegido con password

Después, cuando alguien quiera acceder al documento, la herramienta de Archive Utility automáticamente solicitará la clave de descifrado.

Figura 2: Cuando se hace doble clic en OS X sale la utilidad de descompresión

Para descomprimir y descifrar se puede utilizar cualquier herramienta, así que no habrá problemas en sistemas Microsoft Windows, u otros equipos con otras versiones de software de compresión/descompresión distintas a las del ejemplo.