Un nuevo malware encontrado en 30.000 Mac deja perplejos a los profesionales de la seguridad - Sin carga útil (payload), los analistas están luchando por aprender qué hace este malware. Se descubrió una nueva variante del malware Silver Sparrow para Mac OS con soporte para los nuevos chips M1 ARM64, medio año después de observarse por primera vez. #GoSearch22 puede ser el primer ejemplo de un código malware compatible de forma nativa con este chip ARM (M1). Recordemos que las Mac M1 pueden ejecutar software x86 con la ayuda de un traductor binario dinámico llamado Rosetta.

La nueva versión del malware, subido a virustotal el pasado día 22, incluye en su lugar un binario compilado para ambas arquitecturas. Según Red Canary, dicho binario no parece de utilidad, mostrando en su primera versión el mensaje "Hello, world!" y en esta segunda "You did it!", como mensajes de prueba.

El malware para Mac GoSearch22, fue el primero conocido para los chips M1 de Apple, contando este con soporte tanto para los procesadores x86_64 como para los nuevos procesadores de la marca. Este nuevo malware resulta ser una variante de un viejo conocido ya reportado el 31 de agosto de 2020. La amenaza fue descubierta originalmente el año pasado por Red Canary para Mac, como un malware que utiliza javascript para su instalación y scripts shell para asegurar su persistencia y conectar con los servidores C2. No obstante, tenía como dependencia un binario compilado para x86_64, incompatible con los nuevos procesadores de Apple.

 Han surgido preguntas porque el malware aún no ha hecho nada malicioso, lo que significa que no se ha observado una entrega de carga útil ni conclusiones sobre su propósito. Lo que se sabe es que Silver Sparrow es una cepa de malware diseñada para Mac impulsada por el nuevo chip Apple M1, que la compañía presentó a fines del año pasado como un alejamiento de la arquitectura Intel.

Esto lo convierte en la segunda pieza conocida de malware de macOS que se dirige a los nuevos chips. Su compatibilidad con el chip M1 con visión de futuro, su alcance global, su tasa de infección relativamente alta y su madurez operativa sugieren que Silver Sparrow es una amenaza razonablemente grave, en una posición única para ofrecer un potencial impactante payload en cualquier momento.

Según datos de Malwarebytes, el malware denominado Silver Sparrow por los investigadores de Red Canary, ha llegado hasta ahora a 29.139 máquinas macOS en 153 países, incluidos EE.UU., Reino Unido, Canadá, Francia y Alemania. Han surgido preguntas porque el malware aún no ha hecho nada malicioso, lo que significa que no se ha observado una entrega de carga útil ni conclusiones sobre su propósito.

Lo que se sabe es que Silver Sparrow es una cepa de malware diseñada para Mac impulsada por el nuevo chip Apple M1, que la compañía presentó a fines del año pasado como un alejamiento de la arquitectura Intel. Esto lo convierte en la segunda pieza conocida de malware de macOS que se dirige a los nuevos chips, según Ars Technica. Con la pieza de carga útil faltante y otras preguntas, el malware ha generado preocupación entre los investigadores de Red Canary.

Aunque todavía no hemos observado que Silver Sparrow entregue cargas útiles maliciosas adicionales, su compatibilidad con el chip M1 con visión de futuro, su alcance global, su tasa de infección relativamente alta y su madurez operativa sugieren que Silver Sparrow es una amenaza razonablemente grave, en una posición única para ofrecer un potencial impactante payload en cualquier momento.

En ambas versiones se aprovecha la API Javascript de instalación de MacOS, por lo que dicho proceso no difiere entre ambas versiones. Este nuevo ataque, el cual ya ha afectado a 30.000 equipos de ambas arquitecturas, aprovecha la clave de desarrollador de Julie Willey (MSZ3ZH74RK), encontrándose ya revocada por Apple. El malware dispone de medidas para asegurar su borrado de la máquina, por lo que es posible haber sido víctima de este nuevo ataque sin conocerlo. Debido a que la clave de desarrollador ha sido revocada ya no es posible su instalación, pero todavía podría estar presente en muchos de los equipos que lo instalaron antes de su bloqueo. 

   Incluso con la protección de Apple, Red Canary aconseja a los usuarios ejecutar productos antivirus o antimalware de terceros para complementar las protecciones antimalware en el sistema operativo. En un nivel más técnico de seguridad o desarrollador, también ofrece los siguientes consejos a las empresas:

• Buscar un proceso que PlistBuddy junto con una línea de comando que contenga LaunchAgents y RunAtLoad y true. Esta analítica ayuda a encontrar varias familias de malware macOS que establecen la persistencia de LaunchAgent.
• Buscar un proceso sqlite3 junto con una línea de comando que contenga LSQuarantine. Esta analítica ayuda a encontrar varias familias de malware macOS que manipulan o buscan metadatos para archivos descargados.
• Buscar un proceso curl con una línea de comando que contenga s3.amazonaws.com. Esta analítica ayuda a encontrar varias familias de malware macOS que utilizan S3 para la distribución.

Fuente: Hispasec | RedCanary | TechRepublic

https://blog.segu-info.com.ar/2021/02/malware-silver-sparrow-afecta-30000.html