Silver Sparrow Dropper vliegt door macOS-detectie; gratis script beschikbaar voor MSP's
Na het beveiligingslek bij FireEye in december heeft Datto een gratis ‘FireEye Countermeasure Scanner’ uitgebracht voor managed service providers (MSP’s) om de gestolen tools op te sporen. Toen er deze week een nieuwe dreiging opdook in de vorm van een nieuwe dropper genaamd Silver Sparrow, kwam het engineeringteam van de ‘ Datto RMM ’ onmiddellijk in actie en heeft het een gratis script voor MSP’s ontwikkeld dat de aanwezigheid van deze dropper detecteert.
Een dropper wordt gebruikt in een aanval om persistentie te vestigen op een apparaat en een payload af te leveren, het onderdeel dat schade veroorzaakt aan het systeem. Op basis van deze analyse zijn er vier interessante details over deze aanval die het profiel van deze activiteit moeten verhogen, evenals uw waakzaamheid om uw MKB-klanten te beschermen.
Gericht op de Apple M1-architectuur
De Apple M1-architectuur, die in november werd gelanceerd, betekende een afscheid van de Intel-processoren waarop Apple tot nu toe vertrouwde voor zijn desktop- en laptopproductlijnen. Tot op heden was er nog geen variant die gericht was op de nieuwe, op ARM64 gebaseerde architectuur van Apple. De teams van Red Canary en Malwarebytes die de ontdekking deden, hebben twee varianten van Silver Sparrow aan het licht gebracht. Terwijl de eerste variant uitsluitend voor Intel x86_64 was bedoeld, bevatte het tweede exemplaar zowel x86_64- als ARM64-architecturen in het PKG-bestand. Dit zou een duidelijk signaal moeten zijn voor de MSP-gemeenschap dat cybercriminelen zich blijven richten op macOS en hun technieken verder ontwikkelen.
Gebruik van de macOS Installer Javascript API
Bestaande malwaretechnieken maken gebruik van voorinstallatie- en na-installatiescripts als onderdeel van het installatieprogramma, waardoor detectie-engines de uitvoeringspatronen van het proces kunnen identificeren om actie te ondernemen. Silver Sparrow maakt gebruik van het vertrouwde macOS-installatieproces om schadelijke JavaScript-commando's uit te voeren die verborgen zitten in een XML-bestand dat deel uitmaakt van het pakket. Dit biedt de kwaadaardige code extra dekking tegen bestaande detectiemogelijkheden en detectiemogelijkheden die uitgaan van vertrouwde besturingssysteemprocessen, waardoor het voor veel next-gen engines een uitdaging wordt om deze code als kwaadaardig te identificeren. Dit is een duidelijke zet om meer op een normale of vertrouwde pakketinstallatie te lijken en een detectiemogelijkheid voor verdedigers weg te nemen.
De ontbrekende lading
Uit de uitgevoerde analyse bleek dat geen van beide teams het meest ingrijpende onderdeel van een dropper had opgemerkt: de payload. Payloads zijn waar we doorgaans over horen in het nieuws en die bij onze responsinspanningen (waaronder RYUK en Trickbot) ingrijpende gevolgen hebben. Het Malwarebytes-team geeft aan dat op alle hosts waarop de dropper werd geïdentificeerd, de payload lijkt te ontbreken. Bovendien bevatten de uitvoeringsscripts gecodeerde berichten met de standaardtekst „Hello World”, wat erop wijst dat Silver Sparrow nog in ontwikkeling is door een actor. Het bewijs wijst er sterk op dat deze dropper zich nog in een vroeg stadium bevindt en dat we in de toekomst waarschijnlijk meer zullen horen over Silver Sparrow.
Zelfvernietiging
We kunnen het allemaal waarderen dat iemand na zichzelf opruimt, maar de gast van wie je wilt dat hij langskomt en alle sporen opruimt is niet Silver Sparrow. Hoewel het de bedoeling is dat de dropper persistent is, is er een soort 'kill switch' ingebouwd in Silver Sparrow om het verwijderen van de componenten met persistente mechanismen te forceren. Dit wordt bereikt door te controleren op de aanwezigheid van een bestand, ~/Library/._insu. Deze techniek maakt het mogelijk om, indien gewenst, de payload te verwijderen en het systeem zonder sporen te verlaten.
Detectie en preventie van zilvermus
Toen het nieuws over deze activiteit bekend werd, besefte het engineeringteam van Datto RMM dat onze MSP-partners en de bredere IT-gemeenschap ondersteuning nodig zouden hebben, gezien de problemen die veel EDR-producten (Endpoint Detection and Response) ondervinden bij het afweren van deze dreiging. Vandaag heeft het engineeringteam van de ' Datto RMM ' het script 'Silver Sparrow Detection and Prevention' binnen het product vrijgegeven voor onmiddellijk gebruik. Het is beschikbaar in de Datto RMM ComStore voor Datto RMM-partners en op GitHub voor de bredere gemeenschap, zodat deze het ook binnen andere RMM-platforms kan gebruiken. Het nieuwe script helpt niet alleen bij het detecteren van de huidige variant, maar plaatst ook het zelfvernietigingsbestand om de aanwezigheid van Silver Sparrow te verwijderen, waardoor wordt voorkomen dat een payload wordt afgeleverd. Het script is gebaseerd op de indicatoren in het Red Canary-rapport, die kunnen veranderen; daarom is feedback van de gemeenschap welkom om voortdurende verbetering te ondersteunen.
De Information Security- en Datto RMM-teams bij Datto zijn toegewijd aan de beveiliging van onze MSP-partners en hun MKB's en zullen doorgaan met het ontwikkelen en leveren van tools om de beveiliging op schaal te verbeteren. De weg naar cyberweerbaarheid vereist voortdurende verbetering, een gezamenlijke verantwoordelijkheid die we accepteren in ons doel om het kanaal te helpen beschermen.
