RShell Malware retter seg mot MacOS-brukere
RShell er navnet på et stykke skadelig programvare som tilskrives en kinesisk avansert vedvarende trusselaktør kjent av flere aliaser, spesielt APT27 og LuckyMouse.
RShell ble oppdaget av et forskerteam med SEKOIA og koblet til en kinesisk språk-app kalt MiMi, som har blitt "trojanisert" siden slutten av mai 2022 og ble brukt til å laste ned og distribuere RShell-malware.
Ifølge SEKOIA er dette første gang LuckyMouse har blitt oppdaget målrettet mot MacOS-systemer. MiMi-applikasjonsversjonene fra og med oppdateringen datert 26. mai 2022 har en JavaScript-kodeinnsetting i starten av module.exports-funksjonen.
JavaScript-kodebiten brukes til å sjekke om miljøet er MacOS, og hvis det er det, laster skriptet ned RShell fra en IP-adresse som er knyttet til C2-infrastrukturen til LuckyMouse APT.
Når den er utført, prøver RShell å kontakte sin C2-server og sender kjerneinformasjon, vertsnavn, IP-adresse og brukernavn til vertssystemet.
RShell malware aksepterer en rekke kommandoer som inkluderer fil- og katalogoppregning, lesing av filer, skriving av data til filer og sletting og lukking av filer.
Koblingene mellom LuckyMouse og RShell er IP-områdene som brukes av begge, så vel som det faktum at LuckyMouse har brukt trojaniserte og våpenbaserte meldingsapplikasjoner i det siste, som ligner på MiMi-meldingsappen.
