Pese a su fama de ecosistema seguro lo cierto es que los productos y servicios de Apple también son objetivo de los ciberdelincuentes. Investigadores han revelado detalles de una variante de un malware de procedencia china que ha sido modificada para dirigirse a usuarios de macOS.
El malware Gimmick ha sido creado por el actor de amenazas de espionaje chino Storm Cloud y hasta la fecha atacaba a organizaciones en toda Asia y funcionaba para Windows.
La firma de ciberseguridad Volexity ha sido quien ha destapado esta nueva variante definiéndola como "una familia de malware multiplataforma rica en funciones que usa servicios de alojamiento en la nube pública (como Google Drive) para canales command-and-control (C2)".
Esta compañía recuperó una muestra a través de un análisis de memoria de una MacBook Pro comprometida con macOS 11.6 como parte de una campaña de intrusión que se habría dado a finales del año pasado.
Los investigadores de Volexity Damien Cash, Steven Adair y Thomas Lancaster explican en un informe que Storm Cloud es un acto de amenazas avanzado y versátil, que adapta su conjunto de herramientas para que coincida con los distintos sistemas operativos usados por sus objetivos".
Así funciona Gimmick
El medio The Hacker News recoge que cuando ya se ha implementado el malware se hace pasar por un programa que el usuario ejecuta con frecuencia, actuando como un daemon. Está configurado para comunicarse con su servidor C2 basado en Google Drive solo en días laborables con el fin de mezclarse con el tráfico de red en el entorno de destino.
Su puerta trasera, además de recuperar archivos arbitrarios y ejecutar comandos desde el servidor C2, viene con su propia funcionalidad de desinstalación. Así, el malware puede borrarse a sí mismo de la máquina comprometida.
"El trabajo involucrado en portar este malware y adaptarlo a un nuevo sistema operativo (macOS) no es tarea fácil y sugiere que el actor de amenazas detrás de él tiene buenos recursos, es experto y es versátil", dijeron los investigadores.
Parece que Apple ya ha actualizado su paquete de protección antimalware para hacer frente a esta amenaza desde el pasado 17 de marzo.