这篇文章给大家介绍如何进行MacOS恶意软件Shlayer分析,内容非常详细,感兴趣的小伙伴们可以参考借鉴,希望对大家能有所帮助。
<强>近两年来,Shlayer木马一直是Mac OS平台上最常见的恶意软件,十分之一的Mac OS用户受到它的攻击,占该操作系统检测到攻击行为的30%。第一批样本发现于2018年2月,此后收集了近32000个不同的木马恶意样本,并确定了143个C& C服务器。
自Shlayer首次被发现以来,其使用的算法几乎没有变化,活动行为保持平稳。
技术细节
从技术角度来看,Shlaye是一个相当普通的恶意软件。在所有变体中,只有最新的木马下载程序OSX.Shlayer。e与众不同。此恶意软件的变体是用Python编写的，其算法也有不同。具体分析如下（样本MD5：4d86ae25913374cfcb80a8d798b9016e）：
感染第一阶段
安装此DMG映像后，将提示用户运行“安装”文件，安装程序是Python脚本。
应用程序包内可执行文件目录包含两个Python脚本：GJPWVUUD847 DZQPYBI(main)和GoqWajdBuV6(auxiliary)。后者用来实现数据加密功能：
接下来，主脚本生成唯一用户和系统ID，收集macOS版本的信息。基于这些数据生成GET query参数，下载ZIP文件：
下载到/tmp/%（sessionID）目录的ZIP文件使用unzip函数解压到/tmp/tmp目录：
ZIP包含可执行文件84cd5bba3870应用程序包：
解压文件后，python脚本使用chmod赋予文件84cd5bba3870在系统中运行的权限：
样本使用moveIcon和findVolumePath函数将原始DMG图标复制到新下载的应用程序包所在的目录中：
木马程序使用内置工具下载和解压，并删除下载的文件及其解压内容：
感染第二阶段
Shlayer本身只执行攻击的初始阶段，穿透系统，加载payload运行。调查AdWare.OSX.Cimpli可以看出其对用户的负面影响。
Cimpli安装程序看起来无害,只是提供安装:
但实际上Cimpli执行用户看不到的操作。首先,它在Safari中安装一个恶意扩展,将操作系统安全通知隐藏在恶意软件伪造窗口后。单击通知中的按钮,用户就会同意安装扩展。
其中一个扩展名为ManagementMark,检测为非病毒:HEUR: AdWare.Script.SearchExt.gen。它监视用户搜索并将其重定向到地址hxxp://lkysearchex41343-a.akamaihd []net/as?q=c:
样本还加载PyInstaller打包的mitmdump工具。系统中添加了一个特殊的可信证书,允许mitmdump查看HTTPS流量,所有的用户流量被重定向到mitmdump的SOCKS5代理。
通过mitmdump (SearchSkilledData)的所有流量都由脚本SearchSkilledData。py (- s选项)处理:
