搜索

[16461] 2021-02-19_黑客也要“与时俱进”？研究发现首个针对AppleM1芯片的Mac恶意软件

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-02-19_黑客也要“与时俱进”？研究发现首个针对AppleM1芯片的Mac恶意软件 黑 客 也 要 “ 与 时 俱 进 ” ？ 研 究 发 现 首 个 针 对 A p p l e   M 1 芯 片 的 M a c 恶 意 软 件 S a n d r a 1 4 3 2   F r e e B u f   2 0 2 1 - 0 2 - 1 9 近 日 ， 研 究 发 现 黑 客 开 始 将 目 光 转 向 苹 果 最 新 的 M 1 芯 片 （ M 1   S o C ） ， 开 发 了 首 个 针 对 该 芯 片 的 恶 意 广 告 分 发 应 用 程 序 G o S e a r c h 2 2 。 据 了 解 ， 该 芯 片 在 其 最 新 一 代 的 M a c B o o k   A i r 、 M a c B o o k   P r o 和 M a c   m i n i 设 备 中 均 有 应 用 。 科 技 在 与 时 俱 进 ， 设 备 系 统 在 不 断 升 级 换 代 ， 恶 意 软 件 也 在 “ 追 赶 变 化 ” 。 在 苹 果 发 布 M 1   S o C 三 个 月 后 ， 黑 客 也 开 发 了 首 个 针 对 M 1 内 部 芯 片 的 恶 意 M a c O S 应 用 程 序 — — G o S e a r c h 2 2 。 G o S e a r c h 2 2 可 在 装 有 M 1 芯 片 的 本 机 上 运 行 。 A p p l e   M 1 于 1 1 月 推 出 ， 是 A p p l e 设 计 的 首 款 基 于 A R M 的 芯 片 ， 现 已 成 为 其 M a c 设 备 的 中 央 处 理 单 元 。 从 2 0 0 6 年 开 始 ， A p p l e 设 备 在 I n t e l 处 理 器 上 运 行 。 但 是 去 年 ， 苹 果 为 M a c 系 列 推 出 了 自 己 的 A R M 硅 处 理 器 ， 以 期 实 现 更 好 的 技 术 集 成 ， 速 度 和 效 率 。 具 体 来 说 ， M 1 支 持 A R M 6 4 指 令 集 体 系 结 构 。 M 1 已 部 署 在 最 新 一 代 的 A p p l e   M a c B o o k   A i r ， M a c   m i n i 和 M a c B o o k   P r o 设 备 中 。 但 是 ， 许 多 应 用 程 序 仍 可 以 在 较 早 的 A p p l e   C P U 上 使 用 的 较 旧 的 I n t e l   C P U   x 8 6 _ 6 4 指 令 上 运 行 。 研 究 人 员 帕 特 里 克 · 沃 德 尔 表 示 ， 虽 然 向 苹 果 芯 片 迭 代 需 要 开 发 人 员 构 建 新 版 本 的 应 用 程 序 以 确 保 更 好 的 性 能 和 兼 容 性 ， 但 恶 意 软 件 作 者 现 在 正 在 采 取 类 似 步 骤 来 构 建 能 够 在 A p p l e 的 新 M 1 系 统 上 本 地 执 行 的 恶 意 软 件 。 这 个 名 为 G o S e a r c h 2 2 的 S a f a r i 广 告 软 件 程 序 最 初 被 编 写 为 在 I n t e l   x 8 6 芯 片 上 运 行 ， 但 后 续 被 转 移 到 A R M 的 M 1 芯 片 上 运 行 。 根 据 2 0 2 0 年 1 2 月 2 7 日 上 传 到 V i r u s T o t a l 的 样 本 ， 这 类 流 氓 扩 展 程 序 是 P i r r i t 广 告 恶 意 软 件 的 变 体 ， 于 2 0 2 0 年 1 1 月 2 3 日 首 次 在 野 外 出 现 。 沃 德 尔 认 为 ： “ 今 天 ， 我 们 确 认 恶 意 攻 击 者 的 确 在 设 计 多 体 系 结 构 应 用 程 序 ， 这 类 恶 意 代 码 将 在 M 1 系 统 上 进 行 本 地 运 行 。 恶 意 的 G o S e a r c h 2 2 应 用 程 序 可 能 是 这 种 本 地 M 1 兼 容 代 码 的 第 一 个 案 例 。 ” M 1   M a c s 可 以 借 助 R o s e t t a 动 态 二 进 制 翻 译 器 运 行 x 8 6 软 件 ， 转 换 为 本 机 A R M 6 4 指 令 ， 以 便 较 旧 的 应 用 程 序 可 以 在 M 1 系 统 上 无 缝 运 行 。 如 果 可 执 行 文 件 仅 包 含 I n t e l 指 令 ， 则 m a c O S 会 自 动 启 动 R o s e t t a 并 开 始 翻 译 过 程 。 然 后 ， 系 统 启 动 翻 译 后 的 可 执 行 文 件 来 代 替 原 始 文 件 。
该 恶 意 程 序 可 以 追 溯 到 2 0 1 6 年 ， P i r r i t 是 一 种 持 久 性 的 M a c 广 告 软 件 ， 向 用 户 推 送 入 侵 性 的 和 欺 骗 性 的 广 告 ， 当 用 户 点 击 时 ， 就 会 下 载 、 安 装 流 氓 软 件 ， 并 暗 中 收 集 用 户 信 息 。 实 际 上 变 体 后 ，   G o S e a r c h 2 2 广 告 软 件 具 有 高 度 混 淆 性 ， 可 以 伪 装 成 合 法 的 S a f a r i 浏 览 器 扩 展 程 序 ， 默 默 收 集 浏 览 数 据 并 投 放 大 量 广 告 ， 例 如 横 幅 和 弹 出 窗 口 ， 包 括 一 些 链 接 到 可 疑 网 站 并 分 发 其 他 恶 意 软 件 的 广 告 内 容 。 苹 果 公 司 已 经 吊 销 了 P i r r i t 制 造 商 使 用 的 开 发 人 员 证 书 ， 这 将 阻 止 用 户 安 装 它 。 这 意 味 着 该 应 用 程 序 将 不 再 在 m a c O S 上 运 行 ， 除 非 攻 击 者 使 用 另 一 证 书 重 新 对 其 进 行 签 名 。 该 恶 意 程 序 直 接 反 映 了 跟 进 两 种 硬 件 变 化 的 过 程 ， 并 在 此 基 础 上 进 一 步 衍 生 。 沃 德 尔 警 告 说 ， “ （ 静 态 ） 分 析 工 具 或 杀 毒 引 擎 可 能 会 与 A R M 6 4 二 进 制 文 件 发 生 冲 突 ， 与 I n t e l   x 8 6 _ 6 4 版 本 相 比 ， 知 名 的 安 全 软 件 检 测 结 果 准 确 性 下 降 了 1 5 ％ ” G o S e a r c h 2 2 的 恶 意 软 件 可 能 不 是 全 新 的 或 高 风 险 的 ， 但 是 这 才 是 值 得 人 们 关 注 的 ， 因 为 这 或 许 只 是 一 个 开 始 ， 未 来 是 否 会 出 现 新 的 与 M 1 兼 容 的 恶 意 软 件 还 未 可 知 ， 如 果 出 现 了 更 多 的 变 体 ， 那 么 就 将 会 产 生 更 大 的 危 害 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理