Se descubrió que un implante de macOS basado en Rust y un ladrón de información previamente indocumentados incorporaba una carga útil de inyección rápida diseñada para engañar a las herramientas de inteligencia artificial (IA) de los analistas de malware para que abortaran o se negaran a analizar el artefacto.
Debido a este comportamiento malicioso, al malware se le ha dado el nombre clave «Gaslight». Se ha evaluado con gran confianza que esta herramienta es obra de un actor de amenazas alineado con Corea del Norte.
«Su característica más notable es que incorpora una cascada de mensajes de falla del sistema fabricados diseñados para hacer que los agentes de clasificación asistidos por LLM sospechen de sus sesiones», dijo el investigador de SentinelOne, Phil Stokes, en un informe técnico. «Ataca la conciencia del agente, no el entorno de pruebas en el que se ejecuta».
El núcleo de la arquitectura del malware es un canal de comando y control (C2) basado en API del bot de Telegram que ingresa a un ciclo de sondeo. Esto permite a los operadores emitir instrucciones y devolver resultados de ejecución a través de un shell interactivo. Si dos instancias del mismo token de bot sondean al mismo tiempo, se emitirá una respuesta de «conflicto» y se cancelará la segunda copia.
El shell admite seis comandos principales y le proporciona un punto de apoyo persistente en un host infectado.
ayuda, muestra el ID de ayuda de un comando, identifica el implante en el shell del operador, ejecuta un comando de shell mediante execvp kill, finaliza el proceso de destino mediante la carga de PID, extrae archivos mediante el mecanismo «attach://» de Telegram, detiene, detiene la ejecución del implante
SentinelOne dijo que ha identificado indicios que sugieren la existencia de un séptimo comando, llamado «enfoque», pero que su funcionalidad no está confirmada en este momento. Para lograr persistencia, Gaslight utiliza un LaunchAgent que usa la etiqueta «com.apple.system.services.activity» en el archivo .plist.
También está integrado en el malware un script Python codificado en Base64 de 6,6 KB que actúa como un conjunto de recopilación de información que recopila datos del historial de comandos del terminal, lista de aplicaciones instaladas, instantáneas de procesos en ejecución, perfiles de hardware y software del sistema, base de datos de llaveros de macOS y navegadores web Chrome, Brave, Firefox y Safari. Luego, los datos recopilados se comprimen en un archivo ZIP (“temp/collected_data.zip”) y se cargan a través de Telegram.
El ladrón de Python se implementa mediante un instalador bash independiente de 2 KB codificado en Base64 que elimina el intérprete cpython-3.10.18 del proyecto «astral-sh/python-build-standalone». La presencia de emojis y encabezados de comentarios extensos indican que es posible que se hayan generado utilizando un modelo de lenguaje a gran escala (LLM).
Lo notable de Gaslight es que los detalles relacionados con el token del bot, el ID del chat (tg_room_id) y el resto de la configuración del operador no están codificados en la muestra, sino que se proporcionan en tiempo de ejecución. «El implante autoedita el token del bot de Telegram en su propia salida de tiempo de ejecución y se lo niega a cualquiera que capture registros o bloquee artefactos», agregó Stokes.
Además, el malware intenta evadir la detección basada en IA incorporando un bloque incluido con rebajas que contiene 38 mensajes de «sistema» fabricados diseñados para engañar a los agentes de seguridad para que aborten, trunquen o rechacen el análisis.
«Este andamio contiene mensajes falsos del sistema sobre caducidad de tokens, muertes por falta de memoria, agotamiento del disco y fallas repetidas en las operaciones. También plantea advertencias falsas sobre vulnerabilidades de inyección y indicadores de análisis estático», dijo SentinelOne, calificándolo de «un intento de convertir en arma el proceso de clasificación asistido por LLM, que está cada vez más atrapado en bucles de ingeniería inversa».
Source link
