Yeni macOS Adload Kötü Amaçlı Yazılım, Yerleşik Antivirüs Algılamayı Atlıyor

Kötü şöhretli Adload kötü amaçlı yazılımının yeni bir çeşidinin, Apple’ın yerleşik antivirüsü XProtect’e yönelik en son güncellemeleri atladığı keşfedildi.

Apple’ın kötü amaçlı yazılım imza listesindeki önemli bir güncellemeyle savunmasını güçlendirme çabalarına rağmen, Adload’un yazarları bu yeni önlemleri hızla adapte ederek, kötü amaçlı yazılımın en son versiyonlarına karşı etkisiz hale getirdi.

Apple’ın Devasa Yükleme İmza Güncellemesi

Apple’ın güvenlik ekibi kısa süre önce XProtect’e önemli bir güncelleme uyguladı ve 30 Nisan’da yayınlanan sürüm 2192’ye 74 yeni kural ve sürüm 2193’e 10 ek kural ekledi.

Bu güncelleme, macOS cihazları için kalıcı bir tehdit oluşturan Adload reklam yazılımıyla mücadele etmeyi amaçlıyordu.

SentinelOne tarafından hazırlanan son rapora göre, macOS’un yerleşik antivirüs tespitini aşabilen ve Mac sistemlerinin güvenliğine ciddi bir tehdit oluşturan yeni bir Adload kötü amaçlı yazılım türü keşfedildi.

Bu güncellemeden önce XProtect’in 207 kuralı vardı ve bunların önemli bir kısmı Adload’un geçmiş sürümlerini hedef alıyordu.

Güncelleme, kural sayısında %24’lük bir artışa işaret ederek Apple’ın bu yaygın reklam yazılımıyla mücadele etme konusundaki kararlılığını ortaya koydu.

Bu çabalara rağmen, hem XProtect hem de VirusTotal’daki diğer antivirüs motorları tarafından tespit edilmekten kaçınan yeni Adload sürümleri belirlendi.

Bu gelişme, kötü amaçlı yazılım yazarlarının uyarlanabilirliğini ve güvenlik ekiplerinin gelişen tehditlere ayak uydurma konusunda karşılaştığı zorlukların altını çiziyor.

En son Adload örnekleri, algılama mekanizmalarını atlama konusunda endişe verici bir yetenek göstermiştir. Başlangıçta çeşitli antivirüs motorları bu örneklerin çoğunu tespit etti.

Ancak hafta ilerledikçe, XProtect ve diğer satıcıların VirusTotal’da tespit edemediği örnekler ortaya çıkmaya başladı.

Bu kaçınma, yeni Adload çeşitlerinin karmaşıklığını ve güvenlik sağlayıcılarının sürekli dikkat ve güncelleme ihtiyacını vurgulamaktadır.

On-Demand Webinar to Secure the Top 3 SME Attack Vectors: Watch for Free.

Yeni Adload Go Varyantı (Yeniden Yükleme/Lador)

Yeni değişkenler arasında, yalnızca Intel x86_64 mimarisi için derlenen özellikle bir tanesi, VirusTotal motorları arasında 0 veya yalnızca 1 algılamayla neredeyse tamamen algılamadan kaçınma gösterdi.

Bu değişken, açık bir ana yürütülebilir dosya, uygulama veya disk görüntüsü olmaksızın, bir sonraki aşamadaki veri yükü için ilk bırakıcı görevi görüyor ve crackli veya truva atı bulaşmış uygulamalar yoluyla bir dağıtım olduğunu gösteriyor.

Gözlemlenen örnekler, bilinen Adload modellerini takip eden, karmaşık ve organize bir dağıtım yöntemini gösteren benzersiz bir özel alan adı içeriyor.

Yürütme üzerine bu damlalıklar, sistem bilgisi keşfini gerçekleştirir. ioreg Yarar:

ioreg -rd1 -c IOPlatformExpertDevice

Kötü amaçlı yazılım daha sonra sabit kodlanmış bir alan adını (sym._main.dwnldUrl) çözümlemeye çalışır ve uzak bir gzip almak için bir http isteği gönderir.

Küçük Düzenleme XProtect İmza Kuralından Kaçıyor

İkili dosyalar daha yakından incelendiğinde, Apple’ın hedeflenen çabalarına rağmen, kötü amaçlı yazılım yazarlarının main.DownloadURL dizesini main.dwnldUrl ile değiştirmek gibi küçük ayarlamalar yaparak tespitten kaçmayı başardıkları ortaya çıkıyor.

rule macos_smolgolf_adload_dropper

{

meta:

    description = "MACOS.ADLOAD"

strings:

    $varName = "main.DownloadURL"

    $libraryName = "github.com/denisbrodbeck/machineid.ID"

    $execCommand = "os/exec.Command"

condition:

    Macho and all of them

}

Bu ince değişiklik, en son Adload örneklerinin XProtect’in savunmasını aşmasına olanak tanıdı ve kötü amaçlı yazılım yazarları ile güvenlik ekipleri arasında süregelen kedi-fare oyununun altını çizdi.

Adload gibi kötü amaçlı yazılımlara karşı mücadele devam ederken yerleşik antivirüs çözümlerine güvenmenin tek başına yeterli olmayabileceği açıktır.

Kuruluşların ve bireysel kullanıcıların, bu ve diğer gelişmiş tehditlere karşı kapsamlı koruma sağlamak için üçüncü taraf güvenlik çözümlerini dikkate almaları teşvik edilmektedir.

MacOS cihazlarının güvenliği konusunda endişe duyanlar için ek güvenlik önlemlerini keşfetmek ve en yeni tehditler ve tespit stratejileri hakkında bilgi sahibi olmak her zamankinden daha önemli.

Is Your Network Under Attack? - Read CISO’s Guide to Avoiding the Next Breach - Download Free Guide