北朝鲜骇客发展出Mac版无档案攻击程式手法

安全研究人员发现，针对Mac平台的无档案（fileless）攻击程式在内存内执行，只有少数防毒产品侦测到。

安全研究人员Dinesh_Devadoss上周首先发现一只名为UnionCrypto的Mac木马程式样本，研判来自北朝鲜骇客组织Lazarus Group。一开始VirusTotal上的57个防毒引擎中，只有2个将之判断为可疑程式。

Lazarus Group过去经常冒充加密货币交易app，诱骗加密货币用户或是骇入交易平台管理员以感染其app。研究人员Patrick Wardle指出，Lazarus Group经常对macOS下手，但这次攻击展现的高明手法，却是前所未见。

最新的攻击是利用交易平台unioncrypto.vip经由UnionCrypoTrader.dmg（.dmg是macOS的映像档格式）散布。据此研究人员相信Lazarus Group又成功故技重施，在加密交易app注入木马程式。

利用指令开启及安装，这个映像档内的Unioncrypto.pkg程式会安装、启动一个script，再建立开机服务（Launch Daemon），这个开机服务目的在重复安装二进制执行档unioncryptoupdater，能在Mac电脑每次开机时都执行。当unioncryptoupdater在Mac电脑会开始搜集OS版本及基本系统资讯，并联络外部服务器以进入第二阶段的下载。

研究人员说，长期潜伏以及两阶段下载都是Lazarus Group的惯用手法。但Unioncrypto很特别的是，可直接在内存写入与执行恶意程式码。这种记忆内（in-memory）程式码执行的能力，比Lazarus Group过去撰写的Mac恶意程式，包括刚发现的AppleJeus更为进阶。

好消息是，由于Unioncrypto.pkg没有签章，会在执行时触控macOS发出警告。另一方面，Lazarus Group的目标也非一般Mac用户，因此尚不必担心这次的UnionCrypto，但研究人员表示，最新木马显示北朝鲜骇客也逐渐学习新技巧，透过无档案攻击手法增加匿踪的能力。