Devlet destekli olduğundan şüphelenilen bir tehdit aktörü tarafından, demokrasi yanlısı Honk Kong haber sitelerini ziyaret eden kullanıcıların bilgisayarlarına, MacOS “sıfırıncı gün” güvenlik açığı kullanılarak bir arka kapı oluşturuldu.
Google TAG ekibi tarafından yayınlanan analizde, saldırıların Ağustos ayının sonlarına doğru tespit edildiği belirtiliyor. Saldırının bir ulus-devlet aktörü tarafından düzenlendiğine inanılıyor, ancak belirli bir APT grubuyla bağlantılı olup-olmadığı belirtilmedi. Tehdit aktörleri tarafından kullanılan güvenlik açıklıkları, daha önce keşfedilen ve güvenlik yaması yayınlanan iki tane zafiyetin birleşiminden elde edilmiş. Bunlar:
- İlk olarak WebKit’deki bir hatanın uzaktan kod yürütülmesine olanak sağlayan CVE-2021-1789 ve bununla ilgili olarak Apple tarafından 5 Ocak 2021‘de güvenlik yaması yayınlanmış.
- İkinci olarak XNU’da keşfedilen bir yerel ayrıcalık yükseltemeye olanak sağlayan CVE-2021-30869 ve bununla ilgili olarakta Apple tarafından 23 Eylül 2021’de bir güvenlik yaması yayınlanmış.
Tehdit aktörleri, MacOS işletim sistemine kök (root) erişimi elde edebilmek için yukarıdaki iki istismarı bir araya getirmişler ve erişim elde edildikten sonra da MACMA yada OSX.CDDS adındaki zararlı yazılımı kurbanların bilgisayarlarına yüklemişler. Açıkçası keşfedilen bu zararlı yazılım, hem arka kapı hem de casusluğa elverişli özellikler içermesi açısından önemli diyebiliriz.
Google TAG ekibi, kurbanların bilgisayarlarına yüklenilen zararlı yazılıma ait yaptıkları analizlere göre; zararlı yazılım sisteme yüklendikten sonra ekran görüntüsü alma, ses kaydı ve tuş kayıt etme, terminal üzerinden kod yürütebilme, rastgele olarak herhangi bir dosya indirebilme ve yükleyebilme ve son olarak bilgisayara kayıt edilmiş parmak izini elde etme diyebileceğimiz çok amaçlı özellikleri yer alıyormuş.
Google ekibi tarafından MAMCA ile ilgili detaylı bir teknik analiz yayınlanmadı ancak MacOS güvenlik araştırmacısı Patrick Wardle tarafından detaylı bir analiz yayınlandı.
