Deneyimli güvenlik uzmanları, son zamanlarda keşfedilen yeni bir Apple işletim sistemi kötü amaçlı yazılımının detaylarını paylaştı. Adı PamStealer olan bu tehdit, sıradan macOS casus yazılımlarından farklı olarak oldukça sofistike ve gizlilik odaklı çalışma yöntemleriyle dikkat çekiyor.
PamStealer'ın saldırı senaryosu çift aşamalı bir yapıda ilerliyor. İlk aşama kapsamında hazırlanmış ikili imaj (disk image) kullanıcıları, macOS için hazırlanan ve ekran paneli yönetimini sağlayan Maccy adlı meşru bir uygulamayla yanlışlıkla bulaştırıyor. Bu ilk stage'i ise AppleScript dosyaları aracılığıyla zararlı içeriğe dönüştüren zarif bir teknik kullanılıyor.
Malware’ün ismi PamStealer olmasının sebebi, Rust programlama diliyle yazılmış bilgi çalma bileşeninin macOS’un yerleşik Pluggable Authentication Modules (PAM) arayüzünü aktif olarak kullanması. Bu sayede kötü amaçlı yazılım, hedefin giriş şifresini sunucuya göndermeden önce sistem içerisinde doğrulama yaparak güvenilir bir şekilde ele geçiriyor.
macOS için hazırlanan casus yazılımlarında disk imajları ve AppleScript'lerin kullanımı sıkça rastlanan yöntemler olmakla birlikte, PamStealer bu iki unsuru bir araya getirirken olağanüstü derecede sessiz kalmayı başarıyor. Güvenlik firması Jamf tarafından yapılan incelemelerdeki raporda belirtildiğine göre, yazılım basit komutlar yerine doğrudan macOS'un yerleşik otomasyon araçlarını kullanıyor.
Malicious AppleScript çift tıklama ile açıldığında Script Editor (Betik Düzenleyici) üzerinden çalıştırılıyor. PamStealer, bu aşamada curl veya zsh gibi genel kabuk komutlarına dayanmak yerine kendi içinde bağımsız bir JavaScript for Automation (JXA) indirici kullanıyor. Bu JXA kod bloğu, sisteme ait yerel Objective-C API'lerini kullanarak zararlı yükü sessizce indirmekte ve çalıştırmak için hazırlamakta.
PambStealer saldırısında en dikkat çekici nokta, oluşturduğu yürütme zincirinin ne kadar gizli olması. Kullanıcıyı tuzağa düşüren disk imajı üzerinden bir betik tetiklendiğinde, kötü amaçlı kod doğrudan AppleScript içinde çalışmaya başlıyor ve macOS’un gelen internetten indirilen dosyalar üzerindeki kısıtlamaları sağlayan com.apple.quarantine özelliğini atlatıyor.
Wazifen ile açıklanan bu durum, PamStealer'ın ortaya çıkan teslimat yüzeyini yeni bir payload (yük) türüyle nasıl birleştirdiğini gösteriyor. Malici kodun ikinci aşaması, Rust dili üzerine kurulmuş olup yüksek düzeyde gizlilik sağlıyor; Finder gibi macOS'ta yerleşik görünen bileşenler taklit ediliyor ve zararlı yazılımın komuta kontrol trafiği şifreleniyor.
Bu ikincil stage aktifken, sistemden Tam Disk Erişimi (Full Disk Access) izni talep etme penceresi hatta kısıtlı bir süre boyunca yani tam kırk dakikaya kadar gösterilmemesi hedeflendi. Bu strateji sayesinde kötü amaçlı yazılımın aktivitesi standart bir başlangıç veya açılış süreciyle çakışmıyor ve geleneksel güvenlik tespit yöntemlerinden kaçabiliyor.
İlk aşamadaki yük, kendisini gerçek macOS bileşenleri gibi tanıtan uygulama paketleri (app bundle) içine yerleştiriyor. Bu taklitler kötü amaçlı yazılımın her örnekünde değişebiliyor. Örneğin; Finder.app için com.apple.finder.core veya com.apple.finder.monitor ana kimliklerini kullanabiliyor; benzer şekilde Software Update uygulaması da kendisini com.apple.security.daemon gibi resmi süreçlerin parçası olarak gösteriyor.
Bu unsurlar kullanılarak, zararlı yazılım Finder'ın asıl simgesini ve sistemin güvenilir bir parçasını andıran ikonları görüntülüyor. Tüm bu gizlilik taktikleri ve yerel API kullanımı, PamStealer'ı güncel tehdit ortamında daha zor fark edilebilen sofistike bir macOS casus yazılımı haline getiriyor.
Topluluk yargısını şekillendirmek için fikrini tek bir sinyalle belirt.
Henüz yorum yapılmamış. İlk yorumu sen yap!
E-posta adresiniz yayımlanmayacaktır. Gerekli alanlar (*) ile işaretlenmiştir.
