macOS 트로이목마 업그레이드: 서명 된 애플리케이션을 위장하여 전파되며 사용자의 파일을 암호화하여 더 은밀한 위험에 직면합니다

BlockBeats 뉴스에 따르면, 12월 23일, SlowMist의 최고 정보 보안 담당자 23pds가 게시물을 공유하여 macOS 플랫폼에서 활동 중인 MacSync Stealer 악성 소프트웨어가 진화했으며 이미 사용자 자산이 탈취되었다고 전했습니다. 그가 전달한 글은 초기에는 "터미널로 끌어다 놓기" 및 "ClickFix"와 같은 낮은 진입 장벽 유도 기술에 의존했으나, 이제는 코드 서명을 통해 Swift 애플리케이션을 애플 노터라이즈(notarized)하고 있어 위장이 뚜렷하게 개선되었습니다.

연구진은 이 샘플이 zk-call-messenger-installer-3.9.2-lts.dmg라는 이름의 디스크 이미지 형식으로 퍼지며, 즉각 메시징이나 도구 애플리케이션으로 위장하여 사용자를 유인했다고 발견했습니다. 이전과 달리, 새로운 버전은 사용자가 어떠한 터미널 조작도 필요로하지 않으면서, 원격 서버로부터 스위프트 보조 프로그램에 의해 암호화된 스크립트를 가져와 실행하여 정보를 탈취하는 프로세스를 완료했습니다.

이 악성 프로그램은 이미 코드 서명이 완료되어 애플 노터라이즈를 거쳐, 개발자 팀 ID는 GNJLS3UYZ4이며, 해당 해시는 아직 Apple에 의해 철회되지 않았습니다. 즉, 이 프로그램은 기본 macOS 보안 메커니즘 하에서 보다 높은 "신뢰성"을 갖게 되어 사용자 경계를 우회하는 데 더 쉽습니다. 연구에서는 또한 이 DMG가 비정상적으로 크고, LibreOffice 관련 PDF 등 유인 파일을 내장하여 의심을 더 낮출 수 있음을 발견했습니다.

보안 연구원들은 이러한 정보 탈취 트로이 목마가 주로 브라우저 데이터, 계정 자격 증명, 암호화폐 지갑 정보를 주요 목표로 한다고 지적했습니다. 악성 소프트웨어가 애플 서명 및 노터라이즈 메커니즘을 체계적으로 남용하기 시작함에 따라, 암호화 자산 사용자들은 macOS 환경에서 더 많은 피싱 및 개인 키 유출 위험에 직면하게 됩니다.

최신 정보 탈취 프로그램 변종에 대비하기 위해 사용자들은 Jamf for Mac에서 위협 방지 및 고급 위협 제어를 활성화하고 차단 모드로 설정하는 것이 강력히 권장됩니다.