Cuckoo Stealer tar sikte på Mac Systems

Säkerhetsforskare har upptäckt en ny informationstjuv riktad mot Apples macOS-system, utformade för att etablera uthållighet på drabbade maskiner och fungera som spionprogram. Känd som Cuckoo av Kandji, denna skadliga programvara är en universell Mach-O-binär kompatibel med både Intel- och Arm-baserade Mac-datorer.

Den exakta distributionsmetoden är fortfarande oklart, även om bevis tyder på att binären finns på webbplatser som dumpmedia[.]com, tunesolo[.]com, fonedog[.]com, tunesfun[.]com och tunefab[.]com, som hävdar att de erbjuder olika versioner av applikationer för att rippa musik från streamingtjänster till MP3.

När du laddar ner skivavbildningsfilen från dessa webbplatser, startas ett bash-skal för att samla in värdinformation och bekräfta att den komprometterade maskinen inte finns i Armenien, Vitryssland, Kazakstan, Ryssland eller Ukraina, och den skadliga binära filen körs endast om denna kontroll är framgångsrik.

Cuckoo Stealer Driftläge

Skadlig programvara etablerar persistens genom en LaunchAgent, en metod som tidigare använts av andra skadliga familjer som RustBucket, XLoader, JaskaGO och en macOS-bakdörr som liknar ZuRu.

I likhet med MacStealer macOS malware, använder Cuckoo också osascript för att presentera en falsk lösenordsuppmaning, som lurar användare att ange sina systemlösenord för att eskalera rättigheter.

Enligt forskare söker skadlig programvara efter specifika filer kopplade till särskilda applikationer i ett försök att samla in omfattande systeminformation. Den utför olika kommandon för att extrahera hårdvarudetaljer, fånga pågående processer, fråga efter installerade applikationer, ta skärmdumpar och samla in data från iCloud Keychain, Apple Notes, webbläsare, kryptoplånböcker och appar som Discord, FileZilla, Steam och Telegram.

Avslöjandet följer den senaste tidens exponering av ett Apple-enhetshanteringsföretag av en annan skadlig programvara som stjäl, kallad CloudChat, som poserar som en integritetsfokuserad meddelandeapp som kan äventyra macOS-användare utanför Kina.

CloudChat fungerar genom att beslagta privata kryptonycklar från urklipp och data från plånbokstillägg på Google Chrome.

Dessutom har en ny variant av den välkända AdLoad malware skriven i Go, som heter Rload (eller Lador), upptäckts. Den är utformad för att undvika Apples XProtect-skadliga signaturlista och kompilerad exklusivt för Intel x86_64-arkitekturen.