Zlonamerna programska oprema macOS, ki je dolga leta ni bilo mogoče odkriti z uporabo samo zagonskih AppleScriptov

OSAMiner je bil ena najbolj zahrbtnih zlonamernih programov, ki je prizadela naprave macOS skoraj pet let. Uporabil je precej iznajdljiv trik, da bi se izognil odkritju in še naprej plenil strojne vire računalnikov Mac po vsem svetu.

Medtem ko mnogi ljudje mislijo, da so naprave macOS neprebojne, je ta velika kršitev skoraj pet let begala raziskovalce zlonamerne programske opreme. Toda kaj je OSAMiner? In kako se je tako dolgo izogibal odkritju?

Kaj je zlonamerna programska oprema OSAMiner?

OSAMiner je rudar kriptovalut, ki mu je skoraj pet let uspelo okužiti naprave macOS. Postala je neverjetno priljubljena v raziskovalnih krogih zlonamerne programske opreme zaradi svoje sposobnosti, da se skoraj pol desetletja upira popolni analizi.

Medtem ko je OSAMiner uradno izšel leta 2021 v poročilu varnostnega podjetja SentinelOne, je okuževal naprave macOS od leta 2015. Leta 2018 so kitajska varnostna spletna mesta prvič poročala o trojancu, ki je ciljal na naprave macOS za rudarjenje

Monero, priljubljena zasebna kriptovaluta.

Zaradi česar je OSAMiner tako poseben v primerjavi z drugimi kripto rudarji, je to, da je ostal praktično neodkrit, saj raziskovalci zlonamerne programske opreme niso mogli pridobiti celotne kode (kar je preprečilo analizo).

Kako je zlonamerna programska oprema OSAMiner okužila računalnike Mac?

OSAMiner se je širil predvsem prek piratskih iger in programske opreme ter je bil usmerjen predvsem v skupnosti v azijsko-pacifiški in kitajski regiji. Veliko ljudi prenaša piratsko programsko opremo in necenzurirano vsebino prek podzemna hudourniška mesta, kar olajša širjenje OSAMinerja.

Najpogosteje se širi prek priljubljene piratske programske opreme, kot je Microsoft Office za Mac, in iger, kot je League of Legends. Namestitveni programi bi prenesli in izvedli AppleScript v ozadju, medtem ko so ljudje nameščali piratsko programsko opremo.

To bi sprožilo AppleScript samo za izvajanje (več o tem spodaj), ki bi sprožil nov prenos, kar bi povzročilo še en prenos AppleScript samo za izvajanje. To bi povzročilo prenos in namestitev enega končnega AppleScripta v napravo macOS, zaradi česar bi bilo sledenje izjemno težko.

Kako je OSAMinerju uspelo ostati neodkrit

Da bi bolje razumeli, kako se lahko OSAMiner tako dolgo izogiba zaznavanju, je pomembno, da najprej spregovorimo o AppleScriptih, ki se izvajajo samo (na katerih temelji OSAMiner). Preprosto povedano, AppleScripts so močna orodja, ki omogočajo avtomatizacijo in zagotavljajo večji nadzor nad programsko opremo v sistemu macOS.

Uporabljajo jezik AppleScript, ki je zasnovan tako, da je razumljiv in enostaven za branje. AppleScript, ki je samo za zagon, je prevedena različica AppleScripta, ki je namenjena izvajanju, vendar ne branju ali spreminjanju.

Ko je AppleScript shranjen kot zagonski skript, se prevede v obliko, ki jo lahko razume računalnik, vendar jo ljudje težko berejo (oblika bajtne kode). To ne le preprečuje drugim, da bi videli ali spreminjali izvorno kodo skripta, ampak tudi pomaga zaščititi vse občutljive informacije, ki bi jih lahko vseboval skript.

Besedna zveza "samo za izvajanje" daje jasnejši pomen: ti skripti sploh niso namenjeni urejanju. In ker ljudje ne morejo prebrati kode, varnostni raziskovalci OSAMinerja niso odkrili.

Kdo je odkril okužbo OSAMiner?

Varnostno raziskovalno podjetje, ki je odkrilo OSAMiner, SentilOne, objavljeno celotno verigo napadov in podroben seznam indikatorjev ogroženosti (IoC), ki opisujejo, kako je OSAMinerju uspelo okužiti računalnike Mac.

Pomembno je omeniti, da se OSAMiner še naprej razvija, saj so napadalci, ki stojijo za zlonamerno programsko opremo, še naprej pridobivali več zaupanja. Dve kitajski varnostni podjetji sta poročali o OSAMinerju že avgusta in septembra 2018, čeprav njuni poročili nista bili niti blizu temu, česar je OSAMiner zmožen.

Poročali so o odkritju "osascripta", vendar poročila niso povzročila niti odmeva v krogih varnostnih raziskav. Glavni razlog za to je bil, da niso mogli pridobiti celotne kode zlonamerne programske opreme.

Ali OSAMiner še vedno predstavlja varnostno tveganje?

Cryptojacking je resna skrb in lahko napade katero koli napravo. Ugnezdeni AppleScript, ki se izvaja samo za izvajanje, na splošno velja za resen vektor napadov, in čeprav je Apple sprejel ukrepe za izboljšanje varnosti svojih naprav, zlonamerna programska oprema, kot je OSAMiner, še vedno predstavlja tveganje.

Čeprav Maci imajo različne varnostne funkcije, je še vedno nujno, da uporabniki namestijo protivirusni program. V idealnem primeru je najboljši način za preprečevanje okužb z zlonamerno programsko opremo ta, da se izognete nalaganju piratske programske opreme ali iger v svojo napravo. Vedno kupujte pri originalnih virih, da zmanjšate tveganje okužbe.

Redno izvajajte preglede, da zaščitite svoj Mac

Če brskate po internetu brez kakršne koli zaščite, morate redno pregledovati svoj sistem za zlonamerno programsko opremo. Okužbe z zlonamerno programsko opremo, kot je OSAMiner, so jasen primer tega, kako sofisticirani hekerji postanejo in koliko škode lahko sčasoma povzročijo.

Obstaja veliko načinov za zaščito vašega Maca pred zlonamerno programsko opremo in pomembno je, da redno nameščate nove varnostne posodobitve, ko jih Apple izda.