SpectralBlur Backdoor wird mit einem vielfältigen Schad-Toolkit geliefert

Forscher im Bereich Cybersicherheit haben eine neuartige Hintertür für Apples macOS entdeckt, die als SpectralBlur bezeichnet wird und mit einer bekannten Malware-Kategorie im Zusammenhang mit nordkoreanischen Bedrohungsakteuren übereinstimmt. Laut dem Sicherheitsforscher Greg Lesnewich ist SpectralBlur eine mäßig leistungsfähige Hintertür mit Funktionen wie Datei-Upload/-Download, Shell-Ausführung, Konfigurationsaktualisierungen, Dateilöschung, Ruhezustand und Ruhezustand, die alle auf Befehlen vom Command-and-Control-Server basieren.

Diese Malware weist Ähnlichkeiten mit KANDYKORN (auch bekannt als SockRacket) auf, einem fortschrittlichen Implantat, das als Fernzugriffstrojaner fungiert und die Kontrolle über einen kompromittierten Host übernehmen kann. Insbesondere stimmt KANDYKORN mit den Aktivitäten der Lazarus-Untergruppe BlueNoroff (auch bekannt als TA444) überein, was in der Endphase der Kampagne zum Einsatz der RustBucket-Hintertür und der ObjCShellz-Nutzlast führte.

SpectralBlur wird mit nordkoreanischem Bedrohungsakteur in Verbindung gebracht

Aktuelle Überwachungen deuten darauf hin, dass der Bedrohungsakteur Komponenten aus beiden Infektionsketten zusammengeführt und RustBucket-Dropper verwendet hat, um KANDYKORN zu verbreiten. Diese Entwicklungen verdeutlichen den zunehmenden Fokus nordkoreanischer Bedrohungsakteure auf macOS, insbesondere auf hochwertige Unternehmen in den Bereichen Kryptowährung und Blockchain.

Patrick Wardle, ein weiterer Sicherheitsforscher, lieferte zusätzliche Einblicke in die Funktionsweise von SpectralBlur und wies darauf hin, dass die Mach-O-Binärdatei im August 2023 aus Kolumbien auf den Malware-Scan-Dienst VirusTotal hochgeladen wurde. Die funktionalen Ähnlichkeiten zwischen KANDYKORN und SpectralBlur legen die Möglichkeit nahe, dass verschiedene Entwickler sie mit ähnlichen Zielen entwickelt haben.

Was SpectralBlur auszeichnet, sind seine Bemühungen, die Analyse zu erschweren und eine Erkennung zu vermeiden, indem es grantpt verwendet, um ein Pseudo-Terminal einzurichten und vom C2-Server empfangene Shell-Befehle auszuführen.