Los actores de amenazas detrás del ransomware LockBit 3 han desarrollado nuevos artefactos capaces de cifrar archivos en dispositivos que ejecutan el sistema operativo macOS de Apple. Según informes, estos artefactos comenzaron a utilizarse desde noviembre de 2022.
Artefactos específicos para diferentes versiones de macOS
Entre los nuevos cifradores se encuentra uno llamado «locker_Apple_M1_64», que está dirigido a los Macs con procesadores Apple Silicon. El archivo también incluye cifradores compatibles con CPU PowerPC, utilizados en modelos más antiguos de Mac.
Expansión del alcance de LockBit
Históricamente, la operación LockBit se ha centrado en ataques a servidores Windows, Linux y VMware ESXi. Sin embargo, se han encontrado cifradores previamente desconocidos para macOS, ARM, FreeBSD, MIPS y CPU SPARC.
Primeras muestras de ataque a macOS
El desarrollo fue reportado durante el fin de semana por el MalwareHunterTeam. Este parece ser el primer caso en que un grupo de ransomware mayor ha creado una carga útil basada en macOS.
Detección y evasión de antivirus
Las muestras identificadas por vx-underground muestran que la variante de macOS ha estado disponible desde el 11 de noviembre de 2022. Además, ha logrado evadir la detección de los motores antimalware hasta ahora.
Impacto y uso del ransomware
Según las estadísticas publicadas por Malwarebytes, LockBit emergió como el segundo ransomware más utilizado en marzo de 2023 después de Cl0p, representando 93 ataques exitosos.
Limitaciones técnicas del cifrador
El análisis revela que «locker_Apple_M1_64» aún está en desarrollo y se basa en una firma no válida para firmar el ejecutable. Esto implica que las protecciones Gatekeeper de Apple impedirán su ejecución incluso si se descarga.
Posibles implicaciones
Según el investigador de seguridad Patrick Wardle, la carga útil contiene archivos como «autorun.inf» y «ntuser.dat.log», lo que sugiere que fue diseñada originalmente para Windows. Aunque puede ejecutarse en Apple Silicon, su impacto está limitado a ese entorno.
Protecciones de Apple
Wardle señaló las salvaguardias adicionales implementadas por Apple, como la System Integrity Protection (SIP) y la Transparency, Consent and Control (TCC), que impiden la ejecución de código no autorizado y exigen permiso explícito para acceder a archivos protegidos.
Confirmación del grupo LockBit
Un representante de LockBit confirmó a Bleeping Computer que el cifrador de macOS «se está desarrollando activamente», lo que indica que podría suponer una amenaza seria para la plataforma.