朝鲜黑客借虚假Zoom更新传播macOS后门程序NimDoor 瞄准加密货币企业
💡
原文中文，约1700字，阅读约需4分钟。
📝
内容提要
朝鲜相关威胁组织通过伪装成Zoom更新的NimDoor后门程序，针对Web3和加密货币企业进行攻击。攻击者利用钓鱼链接诱骗受害者安装恶意软件，窃取浏览器历史和凭证。该恶意软件具备复杂的注入技术和加密通信，具有持久化能力，增加了分析难度。
🎯
关键要点
- 朝鲜相关威胁组织通过伪装成Zoom更新的NimDoor后门程序，针对Web3和加密货币企业进行攻击。
- 攻击者利用钓鱼链接诱骗受害者安装恶意软件，窃取浏览器历史和凭证。
- NimDoor恶意软件具备加密通信功能，能够持久驻留并自我修复，规避检测。
- 攻击链始于通过Telegram和Calendly发送的虚假Zoom邀请，受害者收到的脚本包含大量填充代码和拼写错误。
- 恶意软件通过Mach-O二进制文件触发不同的感染链，采用复杂的注入技术和加密方式。
- NimDoor的持久化机制通过捕获终止信号来维持核心恶意组件的运行。
- 攻击者探索跨平台语言，增加了分析的复杂度，Nim语言的独特能力使得攻击行为更难以分析。
❓
延伸问答
NimDoor恶意软件是如何传播的？
NimDoor恶意软件通过伪装成Zoom更新的钓鱼链接传播，攻击者利用Calendly或Telegram诱骗受害者安装。
NimDoor恶意软件的主要功能是什么？
NimDoor恶意软件能够窃取浏览器历史和凭证，具备持久化和自我修复能力，采用加密通信。
攻击者使用了哪些技术来规避检测？
攻击者通过模仿合法的AppleScript工具和复杂的注入技术来规避检测。
NimDoor恶意软件的持久化机制是怎样的？
NimDoor通过捕获SIGINT和SIGTERM信号来维持持久性，并重新部署核心恶意组件。
NimDoor恶意软件与其他macOS恶意软件有何不同？
NimDoor采用了罕见的进程注入技术和复杂的加密方式，与常见的macOS恶意软件显著不同。
朝鲜相关威胁组织的攻击目标是什么？
朝鲜相关威胁组织主要针对Web3和加密货币企业进行攻击。
➡️
