現在很多產品都標榜跨平台,而惡意軟體也不例外,我們最常見的惡意軟體,通常將攻擊目標瞄準在單一作業系統上,不過這次出現的新款後門惡意軟體非常特別,可以說打破過去我們的既定印象。這一款被命名為「SysJoker」是最新被發現的跨平台惡意軟體,可影響到 Windows、macOS 和 Linux 三種系統。
新的「三位一體」後門惡意軟體出現,Windows、macOS 與 Linux 都會受害
雖說以 Windows 系統為目標的惡意軟體一抓一大把,但真正能夠在 Windows、macOS 與 Linux 三種不同平台上逞兇的惡意軟體很罕見。在 2021 年 12 月時, Intezer 的安全研究人員首度發現這款惡意軟體並將之命名為「SysJoker」。從某種角度來說,SysJoker 在 Windows 以外的兩個平台上更加狡猾,VirusTotal 也無法檢測到惡意軟體在 Linux 和 macOS 上的種種跡象。
▲在一部已經受感染的 M1 版 Mac 上使用 VirusTotal 也掃不出 SysJoker
SysJoker 的攻擊走我們已經耳熟能詳的「開後門」方式,為利用它的攻擊者提供一個祕密間諜工具,可以隱密地滲透系統並控制上面的所有操作。Intezel 推斷, SysJoker 應該是高階威脅參與者(Advanced Threat Actor)的產物,並且暗示有潛在勒索軟體的風險,在該單位的報告中寫道:「根據惡意軟體的能力」,我們評估攻擊的目標是間諜活動,以及橫向的擴散,很可能也會將投放勒索軟體作為下一階段的攻擊。」
SysJoker 偽裝成系統更新,並通過解碼從 Google 雲端硬碟上託管文件檔案中檢索到的字串來生成其 C2。在 Intezer 分析過程中,C2 更改了三次,表明攻擊者處於活動狀態並正在監視受感染的電腦,根據受害者和惡意軟體的行為,可推斷 SysJoker 或許在追逐特定目標。SysJoker 已上傳到 VirusTotal,後綴為.ts,用於 TypeScript 檔,此惡意軟體很可能是透過受感染的 npm 包為散播媒介。下圖就是 SysJoker 與 C2 的通訊流程:
這款惡意軟體是從零開始重新編寫,並非其他惡意軟體的變種,其細節在以往的攻擊中未曾見過,在過去的實務上也幾乎沒有發現過針對 Linux 的惡意軟體。攻擊者註冊了至少 4 個不同的網域,並且從頭開始為 Windows、macOS 與 Linux 編寫,心思之縝密、手法之新穎很有觀察的價值。在整個分析過程中,Intezer 也沒有發現攻擊者送出第二階段攻擊或指令,這表明該攻擊有特定目標與特定操控者,多半會是由高階威脅參與者(Advanced Threat Actor)執行下一步驟。