MacControl

MacControl est classé par les analystes en cybersécurité comme une menace de Troie de stade avancé conçue pour cibler spécifiquement les utilisateurs de Mac. Si MacControl parvient à s'intégrer avec succès sur l'ordinateur de l'utilisateur, il fournirait aux attaquants un large niveau de contrôle sur l'appareil compromis.

MacControl a été livré grâce à une campagne d'attaque ciblée qui a vu la diffusion de documents Word militarisés parmi les utilisateurs de Mac. Pour prendre pied sur le système, les pirates ont exploité une ancienne vulnérabilité d'Office pour Mac. L'exploit apparaît chaque fois que Microsoft Office Word tente de gérer un document Word qui a été créé pour inclure un enregistrement mal formé spécifiquement. Grâce à la vulnérabilité, l'acteur de la menace peut obtenir des privilèges d'exécution de code à distance. Les cybercriminels pourraient installer des programmes, manipuler le système de fichiers, créer de nouveaux comptes avec tous les droits d'utilisateur, etc. Il semble que les utilisateurs avec des comptes possédant des droits limités soient moins touchés par la menace que les utilisateurs avec des droits administratifs complets.

Chaîne d'attaque MacControl

La première étape de l'attaque est la remise du courrier électronique contenant le document Word cheval de Troie en pièce jointe. Chaque fois que l'utilisateur ouvre le document corrompu avec Office pour Mac, il déclenche la charge utile corrompue initiale qui se copie dans la mémoire. Dans la deuxième étape de l'attaque, plusieurs fichiers sont copiés dans le dossier / tmp / du disque, puis un script corrompu est exécuté.

Au cours de l'étape suivante, la première véritable menace de logiciel malveillant est déposée sur le système infecté. Il s'agit d'une menace déjà détectée avec un serveur de commande et de contrôle basé à New York. L'attaque contient une étape de plus et c'est ici que le MacControl, création de malware jusqu'alors inconnue, est livré à l'ordinateur. Plusieurs versions différentes de MacControl ont été observées par les chercheurs d'Infosec, chacune étant conçue pour travailler sur une architecture différente.

L'attaque de MacControl montre des liens avec la Chine

Des preuves solides ont été découvertes indiquant que les criminels responsables de la localisation de MacControl ou d'avoir des liens avec la Chine. Les documents Word de leurre utilisés pour lancer l'attaque parlent de problèmes régionaux poignants et sont structurés pour apparaître comme une lettre adressée à la Commission des droits de l'homme des Nations Unies. Le sujet est l'anniversaire du soulèvement tibétain contre la Chine. Un autre lien a été découvert lorsque les chercheurs ont découvert que l'infrastructure de commande et de contrôle pour MacControl était également basée en Chine.