Nytt macOS hot DigitStealer avancerad infostealer upptäckt av Jamf Threat Labs

Jamf Threat Labs har identifierat ett nytt och avancerat macOS hot som väcker stor uppmärksamhet i säkerhetsvärlden. Den skadliga koden som fått namnet DigitStealer är en infostealer byggd för att smyga under radarn genom avancerade tekniker som gör den mycket svår att upptäcka. Hotet riktar sig specifikt mot macOS och visar tydligt att angripare fortsätter att höja sin tekniska nivå för att kringgå Apples säkerhetslager.

Den nya skadliga koden macos digitstealer riktar sig specifikt mot macOS användare och använder avancerade metoder som gör upptäckten svår för traditionella säkerhetslösningar.

Upptäckten av DigitStealer

Upptäckten gjordes när Jamf Threat Labs analyserade en fil som utgav sig för att vara ett legitimt verktyg för macOS under namnet DynamicLake. Den falska applikationen imiterade det riktiga macOS verktyget och var vid analysögonblicket helt osynlig för alla antivirusmotorer på VirusTotal. Detta visar hur snabbt hotutvecklingen går och hur svårt det är för organisationer att enbart förlita sig på traditionella lösningar.

Annons

En avancerad infostealer med modulär attackstruktur

DigitStealer ingår i kategorin infostealers vilket innebär att dess primära syfte är att samla in känslig information från användarens enhet. Denna typ av kod har ökat kraftigt det senaste året och blir allt mer komplex. DigitStealer använder flera lager av tekniska metoder för att undvika upptäckt samtidigt som den försöker kringgå säkerhetsfunktioner som macOS Gatekeeper och andra inbyggda skyddsmekanismer.

En central del av hotets effektivitet är att det är modulärt och uppdelat i olika steg. Varje steg genomför kontroller som avgör om skadlig kod ska aktiveras eller inte. Till exempel gör DigitStealer specifika hårdvarukontroller som kan avgöra om koden körs på en fysisk dator eller i en analysmiljö. Om programmet upptäcker tecken på en sandbox eller en virtuell miljö kan den avstå från att aktiveras vilket gör analysen betydligt svårare.

Hotaktörer blir mer sofistikerade

Pontus Nord på Jamf beskriver utvecklingen på ett tydligt sätt.
”Vi ser att hotaktörerna blir allt skickligare på att smälta in gömma sina spår och utnyttja legitima tjänster och verktyg för att sprida skadlig kod” säger Pontus Nord på Jamf.

Denna nivå av förfining har blivit vanligare det senaste året där allt fler macOS hot använder skript in memory tekniker och legitima API anrop för att undvika detektion. Kombinationen av hög teknisk kvalitet och en förmåga att efterlikna legitim aktivitet gör att många organisationer inte upptäcker intrånget förrän skadan redan är skedd.

In memory attacker skapar stora utmaningar

En av de mest problematiska egenskaperna hos DigitStealer är att delar av attacken körs helt i minnet. Detta innebär att skadlig kod inte skrivs till hårddisken vilket gör att traditionella signaturbaserade antiviruslösningar får mycket svårt att identifiera hotet. Attacker som opererar endast i minnet gör det nödvändigt för företag att arbeta med beteendebaserad övervakning som kan upptäcka avvikelser i realtid. Beteendedata som ovanliga processer oväntade nätverksanslutningar och obehöriga åtkomstförsök blir allt viktigare för att fånga upp denna typ av sofistikerade hot.

macOS allt mer attraktivt för cyberkriminella

DigitStealer bekräftar samtidigt en bredare trend där macOS blivit en mer attraktiv plattform för cyberbrottslingar. Företag som tidigare fokuserat nästan uteslutande på Windowsmiljöer upptäcker nu att angripare prioriterar macOS användare när säkerhetsnivån på Windows börjar bli högre. I takt med att fler kreatörer utvecklare och företagsanvändare arbetar på Mac ökar värdet av att stjäla data från dessa enheter.

Rekommendationer från Jamf

Jamf lyfter därför fram ett antal rekommendationer för att stärka försvarsförmågan. Organisationer bör först säkerställa att avancerade hotkontroller och blockers är aktiverade i sina säkerhetslösningar. Verktyg som endast bygger på signaturer eller enklare heuristik kommer inte att räcka mot hot som DigitStealer. Företag uppmanas även att vara extra försiktiga med mjukvara som laddas ned från okända eller inofficiella källor. Social engineering och förfalskade appar är en vanlig metod för att sprida denna typ av kod.

Företag bör också arbeta med en kombination av förebyggande skydd och beteendebaserad analys. Lagerskydd är fortfarande relevant men behöver kompletteras med realtidsövervakning och analysmotorer som kan uppfatta subtila tecken på intrång. Detta gäller inte minst i miljöer där användare har administratörsrättigheter eller installerar tredjepartsverktyg som inte går via centralt godkända kanaler.

Hotet som DigitStealer representerar är ett tydligt exempel på att macOS miljöer inte längre kan betraktas som mindre utsatta. Angripare investerar nu betydande resurser i att utveckla specialiserad kod för Apple ekosystemet vilket gör det viktigt för organisationer att behandla macOS med samma säkerhetskrav som Windows och Linux.

Läs den fullständiga analysen från Jamf Threat Labs här: