Group-IB 的研究人员发现了朝鲜 APT 组织 Lazarus 使用的一种新的隐身技术，它通过一种独特的代码走私方法攻击 macOS 系统。Lazarus 以其复杂的网络间谍行动而闻名，现在它又在自己的武器库中添加了自定义扩展属性，使恶意软件能够躲避杀毒软件的检测。
扩展属性（EA）提供了一种在文件大小或时间戳等标准属性之外附加额外元数据的方法。Lazarus 的恶意软件利用 EAs 作为隐藏点，避开了传统的检测方法。报告解释说：“在扩展属性中隐藏代码的技术有效地绕过了大多数防病毒扫描程序。”
研究人员发现了一种名为 RustyAttr 的新型 macOS 木马，它是利用 Tauri 框架开发的。该框架可让桌面应用程序拥有网络前端，同时使用 Rust 完成后台任务，Lazarus 利用这种组合将恶意代码嵌入到扩展属性中。这种方法不仅可以避免被发现，而且只需要用户进行最少的交互。
为了执行恶意软件，Lazarus 采用了各种诱饵来分散受害者的注意力，同时让恶意代码在后台运行。例如，一个诱饵显示一个名为 “投资决策问卷 ”的 PDF 文件，其中的问题旨在引诱金融和技术领域的专业人士。另一种伎俩是伪造一个对话框，上面写着 “此应用程序不支持此版本”，看似无害，但会在恶意软件运行时分散用户的注意力。
当 Tauri 应用程序启动时，它会试图通过 WebView 渲染网页，同时执行隐藏的 JavaScript，访问自定义扩展属性。“报告详细指出：”如果属性存在，则不会显示用户界面；如果属性不存在，则会显示伪造的网页。
Lazarus 小组对扩展属性的使用标志着一种新颖的方法，可能会给未来的检测工作带来挑战。虽然目前的 RustyAttr 样本缺乏公证，但研究人员警告说，如果正确签名，更强大的版本可以绕过 macOS 的 Gatekeeper 保护。研究人员警告说：“很可能需要一定程度的交互和社交工程……不过，对于未来可能出现的其他样本来说，情况可能并非如此。”
1.本站内容仅供参考，不作为任何法律依据。用户在使用本站内容时，应自行判断其真实性、准确性和完整性，并承担相应风险。
2.本站部分内容来源于互联网，仅用于交流学习研究知识，若侵犯了您的合法权益，请及时邮件或站内私信与本站联系，我们将尽快予以处理。
3.本文采用知识共享 署名4.0国际许可协议 [BY-NC-SA] 进行授权
4.根据《计算机软件保护条例》第十七条规定“为了学习和研究软件内含的设计思想和原理，通过安装、显示、传输或者存储软件等方式使用软件的，可以不经软件著作权人许可，不向其支付报酬。”您需知晓本站所有内容资源均来源于网络，仅供用户交流学习与研究使用，版权归属原版权方所有，版权争议与本站无关，用户本人下载后不能用作商业或非法用途，需在24个小时之内从您的电脑中彻底删除上述内容，否则后果均由用户承担责任；如果您访问和下载此文件，表示您同意只将此文件用于参考、学习而非其他用途，否则一切后果请您自行承担，如果您喜欢该程序，请支持正版软件，购买注册，得到更好的正版服务。
5.本站是非经营性个人站点，所有软件信息均来自网络，所有资源仅供学习参考研究目的，并不贩卖软件，不存在任何商业目的及用途
暂无评论内容