Ένα νέο κακόβουλο λογισμικό για λειτουργικό σύστημα macOS με την ονομασία GhostProfile κλωνοποιεί τα προφίλ περιηγητών διαδικτύου, επιτρέποντας σε επιτιθέμενους να ελέγχουν παρασκήνια αντίγραφα των Chrome ή Firefox χρησιμοποιώντας τις ενεργές συνδέσεις των θυμάτων.
Αντί για την απλή υποκλοπή κωδικών πρόσβασης ή την προβολή της ορατής επιφάνειας εργασίας, το λογισμικό δημιουργεί ένα ξεχωριστό περιβάλλον περιήγησης, αποκτώντας άμεση πρόσβαση σε λογαριασμούς χωρίς να απαιτείται εκ νέου ταυτοποίηση.
GhostProfile: Μηχανισμός ελέγχου και τεχνικές απόκρυψης
Το GhostProfile διαφοροποιείται από τα παραδοσιακά εργαλεία απομακρυσμένης διαχείρισης, καθώς χρησιμοποιεί εξειδικευμένα πρωτόκολλα όπως το Chrome DevTools Protocol (CDP) και το WebDriver BiDi για τον έλεγχο του περιηγητή. Για να διατηρήσει τη δραστηριότητά του αόρατη:
- Μεταφέρει το παράθυρο του περιηγητή σε συντεταγμένες εκτός των ορίων της ορατής οθόνης.
- Παραποιεί τις ενδείξεις αυτοματισμού, καθώς και τα δεδομένα WebGL και πρόσθετων, ώστε να μην εντοπίζεται από τις ιστοσελίδες.
- Λαμβάνει στιγμιότυπα οθόνης σε μορφή JPEG και αποστέλλει προσομοιωμένες εισαγωγές πληκτρολογίου και ποντικιού.
- Αποκτά προσβάσεις σε δικαιώματα κάμερας, μικροφώνου, τοποθεσίας, ειδοποιήσεων και πινακίδας μεταφοράς (clipboard).
Μόλυνση, διατήρηση πρόσβασης και υποκλοπή δεδομένων
Η αλυσίδα μόλυνσης ξεκινά με μια σύντομη εντολή κελύφους που εκτελείται στο zsh shell, η οποία κατεβάζει το ωφέλιμο φορτίο, αφαιρεί τη σήμανση καραντίνας του macOS και το τοποθετεί στον φάκελο λήψεων. Στη συνέχεια, εγγράφει μια ψευδή υπηρεσία εκκίνησης (LaunchAgent) με την ονομασία com.system.updater, εξασφαλίζοντας την αυτόματη επανεκκίνηση και διαρκή παρουσία του στο σύστημα.
Παράλληλα, το κακόβουλο λογισμικό εξετάζει τις βάσεις δεδομένων SQLite των περιηγητών για την απόσπαση cookies, ενώ διαθέτει επιπλέον δυνατότητες λήψης και εκτέλεσης περαιτέρω κακόβουλων αρχείων ZIP ή εικόνων δίσκου. Για την αντιμετώπιση του αμυνόμενου προσωπικού ασφαλείας, συνιστάται η απομόνωση των ύποπτων συστημάτων, η ακύρωση όλων των ενεργών συνεδριών και η αλλαγή κωδικών πρόσβασης από ασφαλείς συσκευές.
