Se ha detectado una nueva campaña de ciberataques atribuida al grupo APT Charming Kitten. La campaña utiliza un malware denominado NokNok para atacar sistemas macOS. La campaña comenzó en mayo y emplea una cadena de infección distinta a la observada anteriormente.
Técnicas utilizadas por los atacantes
Los atacantes emplean archivos LNK para desplegar sus payloads, representando una evolución en las técnicas utilizadas por el grupo. Los atacantes envían un enlace malicioso que redirige a una URL de Dropbox para alojar un archivo RAR protegido con contraseña.
El dropper utiliza código de PowerShell y un archivo LNK para preparar el malware desde un proveedor de alojamiento en la nube. Si la víctima utiliza un sistema macOS, los atacantes envían un nuevo enlace a «library-store[.]camdvr[.]org».
Proceso de infección
El enlace aloja un archivo ZIP que se hace pasar por una aplicación de VPN del Royal United Services Institute (RUSI). Al ejecutar el archivo de script de Apple contenido en el archivo comprimido, se activa un comando curl que obtiene la carga útil de NokNok y establece una puerta trasera en el sistema.
Funcionalidades del malware
NokNok recopila información del sistema, incluyendo la versión del sistema operativo, los procesos en ejecución y las aplicaciones instaladas. NokNok cifra y exfiltra los datos hacia un servidor de comando y control (C2).
NokNok podría contar con funcionalidades de espionaje aún más específicas a través de módulos no identificados hasta el momento. La similitud de código con GhostEcho sugiere la posible existencia de características adicionales, como la capacidad de tomar capturas de pantalla, ejecutar comandos y borrar el rastro de la infección.
Charming Kitten ha llevado a cabo al menos 30 operaciones en 14 países distintos desde 2015 según informes de Mandiant. Google ha vinculado este grupo con el estado iraní, específicamente con el Cuerpo de la Guardia Revolucionaria Islámica (IRGC).
Riesgos identificados
Los usuarios de macOS enfrentan una creciente amenaza debido a las campañas de malware cada vez más sofisticadas. NokNok podría contar con funcionalidades de espionaje aún más específicas.