Jamf发现伪装成热门macOS应用程序的新型恶意软件

Jamf Threat Labs在周四宣布发现了一种新的macOS恶意软件威胁。该恶意软件类似于2021年发现的ZuRu恶意软件。

该恶意软件通过中国托管的盗版软件进行传播。当用户启动盗版应用时，附加在应用中的恶意动态库使用开源的Khepri后渗透工具创建了一个后门。这样可以让恶意软件避开杀毒软件的检测。然后，该恶意软件与攻击者进行通信，攻击者可以在目标Mac上加载软件并对其进行控制。

Jamf在调查其他威胁时发现了该恶意软件。一个名为“.fseventsd”的可执行文件引起了注意，因为它是隐藏的，并且与macOS中的一个进程具有相同的名称。Jamf还指出，该可执行文件未经苹果签名，并且在VirusTotal这个分析可疑文件的网站上没有被标记为恶意。

Jamf在发现该恶意软件的盗版应用包括FinalShell、Microsoft Remote Desktop Client、Navicat Premium、SecureCRT和UltraEdit。Jamf表示：“鉴于其针对性应用程序、修改的加载命令和攻击者基础设施，这种恶意软件可能是ZuRu恶意软件的后继者。”

如何避免恶意软件攻击

苹果在macOS中已经设置了保护措施，并通过系统更新发布安全补丁，因此在可用时安装它们非常重要。如果苹果撤回了一个更新，则会在修正后立即重新发布。