Jamf Threat Labs har avdekket en ny variant av angrepskampanjen «Contagious Interview», der manipulerte installasjonsfiler utgir seg for å være kjente Mac-apper. Målet er å få brukeren til selv å installere skadevaren.
Jamf har funnet 14 manipulerte installasjonsfiler for macOS som utgir seg for å være apper som The Unarchiver, Bartender, Mp3tag, Presentify og SiteSucker Pro.
Når en av de manipulerte appene kjøres, åpnes den ekte applikasjonen som forventet, samtidig som ondsinnet kode kjøres i bakgrunnen. For brukeren kan det derfor se ut som programmet fungerer helt normalt.
Angrepene knyttes til «Contagious Interview», en kampanje som Jamf beskriver som knyttet til nordkoreanske aktører.
Tidligere har angriperne blant annet brukt falske jobbintervjuer og programmeringsoppgaver for å lure personer til å kjøre ondsinnet kode. De nye funnene viser hvordan samme type angrep nå kan skjules i tilsynelatende vanlige Mac-programmer.
Skadevaren kan blant annet brukes til å hente sensitive filer og informasjon fra nettlesere, overvåke utklippstavlen og gi angriperen ekstern tilgang til maskinen.
En viktig detalj er at de manipulerte appene Jamf analyserte, ikke er korrekt signert eller notarized av Apple. macOS Gatekeeper vil derfor blokkere dem som standard.
For at angrepet skal lykkes, må brukeren omgå denne beskyttelsen. Det understreker hvorfor man bør være svært forsiktig dersom en app ber deg overstyre sikkerhetsadvarsler i macOS.
Programvare bør lastes ned fra App Store, produsentens offisielle nettsted eller andre kilder virksomheten har godkjent. For virksomheter med mange Mac-er kan sentral administrasjon og endpoint-sikkerhet i tillegg bidra til å redusere risikoen for at uønsket programvare får kjøre.
Er du usikker på hvordan Mac-ene i virksomheten er sikret? Infografikk hjelper bedrifter med sikkerhet og administrasjon av Apple-enheter gjennom blant annet Jamf. Ta gjerne kontakt med oss for en gjennomgang.
