OSX/Proton: Supply-Chain-Attacke trifft macOS

Innerhalb der vergangenen Stunden bemerkten ESET-Forscher, dass Eltima – die Entwickler der Elmedia Player Software – eine Version ihrer Anwendung auf ihrer offiziellen Webseite verteilten, die mit der OSX/Proton Malware kompromittiert ist. ESET kontaktierte Eltima kurz nachdem der Verdacht sich bestätigte. Das Software-Unternehmen antwortete innerhalb kürzester Zeit und kooperierte während des Vorfalls mit ESET in exzellenter Weise zusammen.

Timeline
19.10.2017: Bestätigung des eingeschleusten Trojaners
19.10.2017 - 10:35 Uhr (ET): Eltima wurde per E-Mail informiert
19.10.2017 - 14:25 Uhr (ET): Eltima bestätigte das Problem und leitete einen Säuberungsvorgang ein
19.10.2017 - 15:10 Uhr (ET): Etlime bestätigte die Säuberung ihrer IT-Infrastruktur und das Neuverteilen der aufbereiteten, nicht-kompromittierten Version.

Anmerkung: Dieser Beitrag enthält den vorläufigen Informationsstand. Zum Zeitpunkt der Erstellung dieses Beitrags waren die Forschungen noch nicht abgeschlossen. Insofern sich neue Fakten herausstellen, werden sie hier ergänzt.

Bin ich von OSX/Proton betroffen?

ESET rät jedem, der sich die Elmedia Player Software erst kürzlich heruntergeladen hat, den eigenen Computer auf eine Kompromittierung mit OSX/Proton hin zu untersuchen. Das geschieht beispielsweise durch das Testen auf Vorhandensein folgender Dateien oder Dateipfade:

• /tmp/Updater.app/
• /Library/LaunchAgents/com.Eltima.UpdaterAgent.plist
• /Library/.rand/
• /Library/.rand/updateragent.app/

Existiert etwas davon im Dateisystem, ist die kompromittierte Elmedia Player Software Anwendung auf dem Computer ausgeführt worden und OSX/Proton läuft bereits.

Es besteht eine große Wahrscheinlichkeit für User, welche die Elmedia Player Software Anwendung vor dem 19. Oktober 2017 – 15:15 Uhr (ET) herunterluden, mit OSX/Proton kompromittiert zu sein.

Wie verhält sich der schädliche Payload auf einem kompromittierten Computersystem?

OSX/Proton ist eine Backdoor, die mit umfangreichen Komponenten für einen Datendiebstahl ausgestattet ist. Die Hintertür bleibt hartnäckig auf dem System und kann folgendes stehlen:

• Details vom Betriebssystem: Hardware Seriennummer (IOPlattformSerialNumber), vollständigen Namen des angemeldeten Users, Hostname, System Integrity Protection Status (csrutil status), Gateway information (route -n get default | awk ‘/gateway/ {print $2}‘), aktuelle Uhrzeit und Zeitzone.
• Browser-Informationen von Chrome, Safari, Opera, Firefox: Verlauf, Cookies, Bookmarks, Login Daten usw.
• Börsen von Kryptowährungen:

• • Electrum: ~/.electrum/wallets
  • Bitcoin Core: ~/Library/Application Support/Bitcoin/wallet.dat
  • Armory: ~/Library/Application Support/Armory
• Private SSH Daten (umfangreiche .ssh Inhalte)
• macOS Keychain Daten, mit Hilfe einer modifizierten Chainbreaker Version
• Tunnelblick VPN Konfiguration (~/Library/Application Support/Tunnelblick/Configurations)
• GnuPG data (~/.gnupg)
• 1Password data (~/Library/Application Support/1Password 4 and ~/Library/Application Support/1Password 3.9)
• Liste aller installierten Anwendungen

Wie säubere ich mein System?

Bei jeder Kompromittierung eines Administrator-Kontos ist der einzige sichere Weg eine Malware zu entfernen die vollständige Neuinstallation des Betriebssystems. Zuvor sollten die Opfer aber herausfinden, ob die genannten Dateien und Pfade auf dem Mac zu finden sind.

Supply-Chain-Attacke sucht Mac wiederholt heim

Im letzten Jahr wurde der Mac Bittorrent Client Transmission gleich zweimal kompromittiert. Zuerst wurde das Programm durch die OSX/KeRanger Ransomware infiziert und später nistete sich dann auch noch der OSX/Keydnap Password Dieb ein. In diesem Jahr fand man die Handbrake Video-Transcoder Anwendung in Verbindung mit OSX/Proton.

Heute entdeckte ESET also eine weitere populäre Mac Software, die missbraucht wird, um die OSX/Proton Malware zu verbreiten. Elmedia Player knackte in diesem Sommer die Userzahl von 1 Millionen.

Technische Analyse von OSX/Proton im Elmedia Player

OSX/Proton ist ein RAT (Remote Administration Tool), das als Kit in Untergrund-Foren gehandelt wird. Die Malware wurde sehr kurz von Sixgill am Anfang dieses Jahres dokumentiert und später von Thomas Reed von MalwareBytes, Amit Serper von CyberReason und Patrick Wardle von Objective-See ausführlicher behandelt.

Im aktuellen Fall der kompromittierten Eltima Software entwickelten die Angreifer einen signierten Wrapper um den legitimen Elmedia Player und Proton. Tatsächlich beobachteten wir Echtzeit Repackaging und Signing der Wrapper mit einer validen Apple Entwickler ID. Einen Verlauf der derzeit bekannten Samples kann man unten entnehmen. Eltima und ESET haben die Zusammenarbeit mit Apple bestätigt. Die Entwickler ID soll gesperrt werden. Das Zertifikat hat Apple bereits für ungültig erklärt.

(timestamps gelten für die ET)

Saubere Anwendung:

kompromittierte Anwendungen:

Zunächst startet der Wrapper die echte Elmedia Player-Anwendung, die im Ordner Resources der Anwendung gespeichert ist:

Schließlich wird OSX/Proton extrahiert und gestartet:

Wie in früheren Fällen, zeigt OSX/Proton ein falsches Autorisierungsfenster, um Root-Rechte zu erlangen:

Persistenz

OSX/Proton gewährleistet die Persistenz durch Hinzufügen eines LaunchAgent für alle Benutzer, wenn der Administrator sein Passwort eingibt. Auf dem System werden die folgenden Dateien erstellt:

• /Library/LaunchAgents/com.Eltima.UpdaterAgent.plist
• /Library/.rand/updateragent.app

$ plutil -p /Library/LaunchAgents/com.Eltima.UpdaterAgent.plist

{

  "ProgramArguments" => [

    0 => "/Library/.rand/updateragent.app/Contents/MacOS/updateragent"

  ]

  "KeepAlive" => 1

  "RunAtLoad" => 1

  "Label" => "com.Eltima.UpdaterAgent"

}

Backdoor Befehle

Wie bereits zu Beginn des Beitrags erwähnt, ist OSX/Proton eine Backdoor mit umfangreichen Möglichkeiten zum Stehlen von Informationen. Die Hintertür-Komponente, die wir beobachtet haben, unterstützt die folgenden Befehle:

C&C-Server

Proton verwendet eine C&C-Domain, welche die legitime Eltima-Domain nachahmt. Hier sind Parallelen zum Handbrake-Fall zu erkennen:

IOCs

URL, welche die kompromittierte Anwendung zum Zeitpunkt der Entdeckung verbreitete: hxxps://mac[.]eltima[.]com/download/elmediaplayer.dmg

hxxp://www.elmedia-video-player.com/download/elmediaplayer.dmg

C&C servers:

eltima[.]in / 5.196.42.123 (Domain registriert am 15.10.217)

Hashes

Kompliment an Michal Malik, Anton Cherepanov, Marc-Étienne M. Léveillé, Thomas Dupuy & Alexis Dorais-Joncas für die Mühe bei der Untersuchung von OSX/Proton!