El sitio web falso de iTerm2 propaga el malware OSX.ZuRu
Si bien la mayoría de los ciberdelincuentes continúan atacando fuertemente las máquinas con Windows, existen grupos más atrevidos que se dirigen a objetivos más exóticos, como los sistemas macOS. OSX.ZuRu es uno de los últimos programas maliciosos identificados que ataca exclusivamente a Mac. Sus creadores parecen depender de la lista de resultados de búsqueda patrocinados para intentar remitir a los usuarios a una página maliciosa. Los delincuentes en realidad están falsificando el nombre de una herramienta macOS legítima llamada iTerm2. Su sitio web oficial es iTerm2.com, pero los delincuentes alojan una versión falsa en iTerm2.net. La segunda página está diseñada para parecerse exactamente a la original. Debido al uso de resultados de búsqueda patrocinados, los usuarios que buscan iTerm2 pueden prestar accidentalmente en el sitio web falso por error.
Actualmente, los delincuentes parecen apuntar solo al motor de búsqueda chino Baidu. Sin embargo, no sería una sorpresa si intentaran expandir su operación en un futuro cercano. Una vez que un usuario intente descargar iTerm desde el sitio web falso, se lo remitirá a un servicio de alojamiento de terceros, que obtendrá el archivo iTerm.dmg. Hasta ahora, en la pantalla del usuario todo parece normal; la única señal de alerta es el nombre de dominio ligeramente diferente. Sin embargo, la mayoría de la gente no se daría cuenta de esto.
Pero esto está lejos de todo lo que los delincuentes han hecho para ocultar su actividad maliciosa. Una vez que un usuario ejecuta e instala la aplicación iTerm.dmg sospechosa, terminará obteniendo acceso a un imitador del shell iTerm. De hecho, parece funcionar igual que el original. Sin embargo, también ejecutará código malicioso en segundo plano, donde ocurre la verdadera magia.
¿Qué hace OSX.ZuRu?
El primer paso que da este malware es conectarse a una aplicación web remota y enviar algunos datos sobre la víctima. La información principal que envía es el número de serie del dispositivo. Después de esto, intenta establecer una segunda conexión a un servidor web malicioso. Esta última es la parte peligrosa: puede ofrecer una larga lista de cargas útiles. Estas descargas ocultas suelen llevar los nombres de aplicaciones y servicios legítimos, por ejemplo, Google Update.
Una de las cargas útiles parece ser un script que extrae ciertos datos del sistema infectado: llavero, archivo de hosts, historial de bash, nombres de carpetas, etc. El otro parece ser una copia del Cobalt Strike Beacon. Este es un marco de penetración de la seguridad que a veces utilizan los ciberdelincuentes.
Claramente, los ciberdelincuentes están experimentando con todo tipo de trucos desagradables para llegar a sus víctimas. La campaña OSX.ZuRu, en particular, es muy intrigante de esta manera. La mejor manera de mantener su sistema y sus datos seguros es utilizar un software antivirus.
