{"id":380148,"date":"2023-06-19T18:18:58","date_gmt":"2023-06-19T18:18:58","guid":{"rendered":"https:\/\/redepress.ecompare.com.br\/noticias\/?p=380148"},"modified":"2023-06-20T00:44:06","modified_gmt":"2023-06-20T00:44:06","slug":"clm-alerta-malware-geacon-agora-mira-os-macs","status":"publish","type":"post","link":"https:\/\/redepress.com.br\/noticias\/2023\/06\/clm-alerta-malware-geacon-agora-mira-os-macs\/","title":{"rendered":"CLM alerta: malware GEACON agora mira os Macs"},"content":{"rendered":"

SentinelOne detecta o uso do malware Geacon para além do Windows. O alvo agora é a implementação Go do sistema operacional da Apple, MacOS<\/em><\/p>\n

CLM<\/a>, distribuidor latino-americano de valor agregado com foco em segurança da informação, proteção de dados, cloud e infraestrutura para data centers, alerta para malware Geacon, em ataques contra dispositivos rodando o Apple MacOS.<\/strong> Muito utilizado por Red Teams de empresas de segurança e SOCs, o Cobalt, plataforma de simulação de ataques, já vinha sendo usado com frequência por ciberatacantes contra plataformas Windows.<\/p>  \n

De acordo com Pedro Diógenes, CTO da CLM<\/strong>, nos últimos meses, a SentinelOne<\/strong>, especializada em tecnologias de cibersegurança baseada em IA que abrange desde prevenção, detecção, resposta e caça aos ataques, observou diversos payloads do Geacon no VirusTotal, serviço online gratuito que analisa arquivos e URLs para identificar conteúdo malicioso detectável por antivírus e scanners em sites.<\/p>  \n

“É provável que algumas dessas investidas sejam operações de Red Teams, mas outras, conforme análise da SentinelOne, têm características de autênticos ataques maliciosos. Ao que tudo indica, os ciberatacantes usam o projeto público e mesmo os private forks do Geacon. Além disso, o aumento de amostras do Geacon nos últimos meses indica que as equipes de segurança devem prestar atenção a essa ferramenta e garantir que suas redes tenham proteção ativa”, adverte Diogenes.<\/p>  \n

O que é o Geacon?<\/strong><\/h2>\n

Geacon é um projeto que apareceu há quatro anos no Github<\/a> como a implementação Go do Cobalt Strike Beacon. Apesar de ser amplamente difundido, até recentemente, a SentinelOne não tinha observado sua implantação contra alvos Apple rodando o MacOS. Ao analisar os payloads no VirusTotal, parece que o que mudou foi a popularidade dos dois forks do Geacon, criados por um desenvolvedor chinês anônimo que se identifica como “z3ratu1”.<\/p>  \n

Em uma postagem no blog popping candy<\/a>, no fim de outubro de 2022, z3ratu1 afirma que “um dia fui fazer compras e vi esse projeto do geacon, então surgiu esse projeto experimental e seu guia de desenvolvimento”. O primeiro payload do Mach-O Geacon foi submetido ao VirusTotal não muito tempo depois, em 10 de novembro do ano passado.<\/p>  \n

Em abril deste ano, os projetos públicos geacon_plus<\/a> e os privados (possivelmente à venda) geacon_pro<\/a>, desenvolvidos pelo z3ratu1, “ganharam quase 1k de estrelas” e foram incluídos no projeto 404 Starlink<\/a>, um repositório público de Red Teams de código aberto e de ferramentas de penetração mantidas pelo Laboratório Zhizhi Chuangyu. No mesmo mês, dois payloads Geacon diferentes foram enviados ao VirusTotal que chamaram a atenção da SentinelOne. Um deles em particular tinha marcas de uma campanha genuinamente maliciosa.<\/p>  \n

Como se proteger dos payloads do Geacon<\/strong><\/p>\n

A plataforma SentinelOne identifica os payloads do Geacon como maliciosos e os elimina na gravação (no modo de proteção) ou na execução (no modo de detecção).<\/p>  \n

 <\/p>\n

Detalhamento técnico de dois ataques recentes pelo Geacon<\/h2>\n

Resume_20230320.app do Xu Yiqing<\/strong><\/h2>\n

O Resume_20230320.app do Xu Yiqing foi enviado ao VirusTotal em 5 de abril. Este miniaplicativo usa um AppleScript somente de execução<\/a> compilado para acionar um servidor C2 remoto e baixar um payload Geacon.<\/p>  \n

O aplicativo foi coprojetado ad hoc<\/a> e compilado para arquiteturas Apple Silicon e Intel. A análise do script, apenas para execução, mostra que ele contém lógica para determinar a arquitetura atual e baixar um payload do Geacon criado especificamente para o dispositivo de destino.<\/p>  \n

O payload Geacon, não assinado, é baixado de um endereço IP na China. Antes de iniciar sua atividade de sinalização, o usuário é apresentado a um documento “isca” de duas páginas incorporado no binário Geacon. Um PDF é aberto exibindo um currículo de uma pessoa chamada “Xu Yiqing”.<\/p>  \n

Payload em trojan disfarçado de SecureLink<\/strong><\/p>\n

Um segundo payload do Geacon apareceu no VirusTotal em 11 de abril. Nesse caso, o payload, fa9b04bdc97ffe55ae84e5c47e525c295fca1241, está incorporando um trojan disfarçado de SecureLink, aplicativo empresarial para suporte remoto seguro.<\/p>  \n

Diógenes explica que o trojan ou cavalo de Tróia é um aplicativo simples, não assinado, criado a partir de um fluxo de trabalho do Automator, app desenvolvido pela Apple para o OS X, em vez de um applet do Editor de scripts, e possui o identificador de pacote com.apple.automator.makabaka. Esse código binário visa apenas dispositivos Intel.<\/p>  \n

É melhor prevenir do que remediar: BAS na cibersegurança<\/strong><\/p>\n

Para não correr riscos, o executivo da CLM, Alisson Santos, esclarece que existem soluções de simulação de violação e ataque (BAS – Breach and Attack Simulation) pioneiras no mundo, que ajudam as empresas a melhorarem sua capacidade de lidar com as adversidades cibernética.<\/p>  \n

“A simulação inverte a dinâmica do zero day a favor da organização, o zero trust, permitindo-as serem proativas na prevenção. O Picus Complete Security Control Validation, por exemplo, mostra como um cibercriminoso poderia roubar dados confidenciais de uma empresa e monitorar, em tempo real e de forma contínua, se os sistemas estão configurados corretamente, o que permite correções e aprimoramentos. Além de analisar a configuração dos dispositivos de segurança e de outros ativos da rede”, conclui.<\/p>  \n","protected":false},"excerpt":{"rendered":"

SentinelOne detecta o uso do malware Geacon para além do Windows. O alvo agora é a…<\/p>\n","protected":false},"author":4,"featured_media":380147,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"","fifu_image_alt":"","footnotes":""},"categories":[21201,21433],"tags":[13798,16456],"class_list":["post-380148","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-destaques","category-tecnologia","tag-ciberseguranca","tag-clm","wpcat-21201-id","wpcat-21433-id"],"_links":{"self":[{"href":"https:\/\/redepress.com.br\/noticias\/wp-json\/wp\/v2\/posts\/380148","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/redepress.com.br\/noticias\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/redepress.com.br\/noticias\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/redepress.com.br\/noticias\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/redepress.com.br\/noticias\/wp-json\/wp\/v2\/comments?post=380148"}],"version-history":[{"count":0,"href":"https:\/\/redepress.com.br\/noticias\/wp-json\/wp\/v2\/posts\/380148\/revisions"}],"wp:attachment":[{"href":"https:\/\/redepress.com.br\/noticias\/wp-json\/wp\/v2\/media?parent=380148"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/redepress.com.br\/noticias\/wp-json\/wp\/v2\/categories?post=380148"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/redepress.com.br\/noticias\/wp-json\/wp\/v2\/tags?post=380148"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}