Elastic 安全实验室的研究人员发现了RustBucket Apple macOS 恶意软件的新变种（hTTPs://securityaffairs.com/145241/hacking/bluenoroff-rustbucket-malware.html）。
今年 4 月，安全公司 Jamf 观察到与东北亚某国有关的 BlueNoroff APT 组织使用了一种名为 RustBucket 的新 macOS 恶意软件。
BlueNoroff组织被认为是在与东北亚某国有关的、臭名昭著的Lazarus APT组织控制下的分支组织。
RustBucket 恶意软件允许下载并执行各种有效负载。将其归咎于 BlueNoroff APT 是因为卡巴斯基 2022 年 12 月发布的分析结果存在相似之处。这些相似之处包括 macOS 上的恶意工具与该活动中使用的人员的 TTP 密切相关。
第一阶段的恶意软件包含在名为 Internal PDF Viewer.app 的未签名应用程序中。专家认为，该应用程序只能通过手动覆盖 Gatekeeper 安全措施来执行。
第一阶段只需执行各种 do shell 脚本命令，即可使用curl 从 C2 下载第二阶段恶意软件。恶意代码将 zip 文件的内容提取到 /Users/Shared/ 目录，并执行第二阶段应用程序（也称为 Internal PDF Viewer.app）。
第二阶段恶意软件不使用 AppleScript，它伪装成合法的 Apple 捆绑包标识符，并使用临时签名进行签名。
“当内部 PDF 查看器应用程序启动时，用户会看到一个 PDF 查看应用程序，他们可以在其中选择和打开 PDF 文档。该应用程序虽然很基础，但实际上可以作为功能性 PDF 查看器运行。” 阅读 Jamf 发表的分析。“使用 Apple 精心构建的 PDFKit 框架，这项任务并不太困难。”
第二阶段恶意软件与 C2 服务器通信以获取第三阶段有效负载，这是一个用 Rust 语言编写的临时签名木马。该木马可以在 ARM 和 x86 架构上运行。
执行后，恶意软件会收集系统信息，包括进程列表、当前时间以及是否在虚拟机中运行。
第三阶段有效负载允许攻击者在系统上执行广泛的恶意活动。
BlueNoroff APt 组的归属首先基于第一阶段植入程序中使用的域cloud[.]dnx[.]capital。Proofpoint 的专家此前曾报告过该域名的使用情况。
Elastic Security Labs 发现的新变种更加隐蔽，在发现时，VirusTotal 尚未检测到恶意代码，并且具有改进的持久性维护能力。
“我们的研究发现了 RUSTBUCKET 系列恶意软件中未曾见过的持久性功能，使我们相信该系列正在积极开发中。此外，截至发布时，该新变种在 VirusTotal 上的检测为零，并利用动态网络基础设施方法进行命令和控制。” Elastic Security Lab 发布的报告中写道（https://www.elastic.co/security-labs/DPRK-strikes-using-a-new-variant-of-rustbucket）。
对新变体的攻击链的分析表明，在第 1 阶段，该进程开始利用“ /usr/bin/osascript”命令执行 AppleScript 。AppleScript 使用 cURL 从 C2 下载第 2 阶段二进制文件。
第二阶段的恶意软件是用 Swift (.pd) 编译的二进制文件，它从命令和控制 (C2) 服务器下载主要组件。该恶意软件是一个 Rust 二进制文件，它收集受感染系统的信息（计算机名称、活动进程列表、当前时间戳、安装时间戳、系统启动时间和系统内所有正在运行的进程的状态）并下载和运行其他恶意代码。
执行后，恶意软件使用downAndExec 函数准备 POST HTTP 请求，并利用特定的 macOS API 进行各种操作。
第 3 阶段恶意软件被写入磁盘并利用 NSTask 开始执行。
该恶意软件背后的黑客组织被 Elastic Security Labs 追踪为 REF9135，其目标是一家为企业提供薪资和企业对企业交易等服务的加密货币公司。受害者的资料与与东北亚某国有关的 BlueNorOff APT 组织所针对的组织之一一致。
参考链接：https://securityaffairs.com/148042/malware/rustbucket-macos-malware.html
