موارد مهم
- محققان یک نرم افزار جاسوسی macOS را که قبلاً هرگز دیده نشده بود در طبیعت مشاهده کردند.
- این پیشرفته ترین بدافزار نیست و برای دستیابی به اهداف خود به بهداشت ضعیف امنیتی افراد متکی است.
-
با این حال، به گفته کارشناسان امنیتی، مکانیسم های امنیتی جامع، مانند حالت قفل آینده اپل، نیاز روز است.
محققان امنیتی یک جاسوس‌افزار جدید macOS را شناسایی کرده‌اند که از آسیب‌پذیری‌های وصله‌شده قبلی برای کار در اطراف حفاظت‌های ساخته شده در macOS سوء استفاده می‌کند. کشف آن اهمیت همگامی با به‌روزرسانی‌های سیستم عامل را برجسته می‌کند.
دوبله CloudMensis، جاسوس‌افزار ناشناخته قبلی، که توسط محققان ESET شناسایی شده بود، منحصراً از سرویس‌های ذخیره‌سازی ابری عمومی مانند pCloud، Dropbox و غیره برای ارتباط با مهاجمان و برای استخراج فایل‌ها استفاده می‌کند. نگران کننده است که از تعداد زیادی آسیب پذیری برای دور زدن حفاظت های داخلی macOS برای سرقت فایل های شما سوء استفاده می کند.
Marc-Etienne M. Léveillé، محقق ESET، نوشت: «قابلیت‌های آن به وضوح نشان می‌دهد که هدف اپراتورهای آن جمع‌آوری اطلاعات از رایانه‌های Mac قربانیان با استخراج اسناد، ضربه‌های کلید و عکسبرداری از صفحه است. «استفاده از آسیب‌پذیری‌ها برای مقابله با کاهش‌دهنده‌های macOS نشان می‌دهد که اپراتورهای بدافزار فعالانه در تلاش هستند تا موفقیت عملیات جاسوسی خود را به حداکثر برسانند.»
جاسوس افزار مداوم
محققان ESET اولین بدافزار جدید را در آوریل 2022 مشاهده کردند و متوجه شدند که می تواند هم به رایانه های قدیمی اینتل و هم به رایانه های مبتنی بر سیلیکون جدید اپل حمله کند.
شاید جالب‌ترین جنبه جاسوس‌افزار این باشد که پس از استقرار در مک قربانی، CloudMensis از سوءاستفاده از آسیب‌پذیری‌های اصلاح‌نشده اپل با هدف دور زدن سیستم رضایت و کنترل شفافیت macOS (TCC) ابایی ندارد.
TCC طراحی شده است تا از کاربر بخواهد به برنامه‌ها اجازه عکسبرداری از صفحه یا نظارت بر رویدادهای صفحه کلید را بدهد. با فعال کردن کاربران macOS برای پیکربندی تنظیمات حریم خصوصی برای برنامه‌های نصب شده در سیستم‌ها و دستگاه‌های متصل به Mac خود، از جمله میکروفون و دوربین، برنامه‌ها را از دسترسی به داده‌های حساس کاربر مسدود می‌کند.
قوانین در یک پایگاه داده محافظت شده توسط System Integrity Protection (SIP) ذخیره می شوند، که تضمین می کند که فقط شبح TCC می تواند پایگاه داده را تغییر دهد.
بر اساس تجزیه و تحلیل خود، محققان بیان کردند که CloudMensis از چند تکنیک برای دور زدن TCC و اجتناب از هرگونه درخواست مجوز استفاده می کند و دسترسی بدون مانع به مناطق حساس رایانه مانند صفحه نمایش، حافظه قابل جابجایی و … صفحه کلید.
در رایانه‌های با SIP غیرفعال، جاسوس‌افزار به سادگی با افزودن قوانین جدید به پایگاه داده TCC به خود اجازه دسترسی به دستگاه‌های حساس را می‌دهد. با این حال، در رایانه‌هایی که SIP روی آنها فعال است، CloudMensis از آسیب‌پذیری‌های شناخته شده برای فریب TCC برای بارگذاری پایگاه داده‌ای که نرم‌افزار جاسوسی می‌تواند روی آن بنویسد، سوء استفاده می‌کند.
از خود محافظت کنید
جرج گرچو، افسر ارشد امنیت Sumo Logic، در یک تبادل ایمیل به Lifewire گفت:"ما معمولاً وقتی محصول Mac را خریداری می کنیم تصور می کنیم که کاملاً در برابر بدافزار و تهدیدات سایبری ایمن است، اما همیشه اینطور نیست.".
Gerchow توضیح داد که این روزها وضعیت بسیار نگران کننده تر است زیرا بسیاری از مردم از خانه یا در یک محیط ترکیبی با استفاده از رایانه های شخصی کار می کنند. گرچو خاطرنشان کرد: «این داده‌های شخصی را با داده‌های سازمانی ترکیب می‌کند و مجموعه‌ای از داده‌های آسیب‌پذیر و مطلوب را برای هکرها ایجاد می‌کند.»
در حالی که محققان پیشنهاد می کنند که یک Mac به روز اجرا کنید تا حداقل از دور زدن نرم افزارهای جاسوسی TCC جلوگیری شود، گرچو معتقد است نزدیکی دستگاه های شخصی و داده های سازمانی نیاز به استفاده از نرم افزار نظارت و حفاظت جامع دارد.
«محافظت نقطه پایانی، که اغلب توسط شرکت‌ها استفاده می‌شود، می‌تواند به صورت جداگانه توسط [افراد] برای نظارت و محافظت از نقاط ورودی در شبکه‌ها یا سیستم‌های مبتنی بر ابر، در برابر بدافزارهای پیچیده و تهدیدات روز صفر در حال تکامل نصب شود.». "با ثبت اطلاعات، کاربران می توانند ترافیک جدید و بالقوه ناشناخته و فایل های اجرایی را در شبکه خود شناسایی کنند."
ممکن است بیش از حد به نظر برسد، اما حتی محققان نیز مخالف استفاده از محافظت‌های جامع برای محافظت از مردم در برابر جاسوس‌افزارها نیستند، با اشاره به حالت Lockdown که اپل قرار است در iOS، iPadOS و macOS معرفی کند. هدف از این کار این است که به مردم این امکان را بدهد که به راحتی ویژگی هایی را که مهاجمان اغلب برای جاسوسی از افراد سوء استفاده می کنند، غیرفعال کنند.
محققان خاطرنشان کردند: «اگرچه پیشرفته‌ترین بدافزار نیست، CloudMensis ممکن است یکی از دلایلی باشد که برخی از کاربران می‌خواهند این دفاع اضافی [حالت قفل جدید] را فعال کنند». «غیرفعال کردن نقاط ورود، به قیمت تجربه کاربری کمتر روان، راهی معقول برای کاهش سطح حمله به نظر می رسد."
