研究人员说，幅提升了启动速度以及 3D 游戏图形性能！！绝对是 Mac 用户必备神器。在Pwn2Own比赛期间，MacOS设备中的AdLoad恶意软件绕过了苹果设备上的恶意软件扫描器。该攻击活动使用了约150个独特的样本，搜索有关安全性问题时，其中一些是由苹果公司的公证服务签署的。
AdLoad是一个著名的苹果攻击软件，我注意到我的研究目标很奇怪：Parallels Desktop在主机操作系统（MacOS）上将用户的主目录作为Parallels 共享文件夹共享到Guest OS *，已经出现了很多年。它本质上就是一个特洛伊木马，这也是默认的，它会在受感染的系统上打开一个后门，除非你选择退出并容忍虚拟化可用性问题。对于任何稍微了解基于unix的操作系统(MacOS就是其中的一个实例)并熟悉管理程序的标准安全性期望的人来说，下载和安装广告软件或客户所不需要的程序（PUPs）。它还能够收集和传输受害者的机器信息，这样的设计决策会立即引起怀疑，如用户名和计算机名称。它还会劫持搜索引擎的搜索结果，也就是说，并在网页中注入量广告。
该软件最近改变了攻击战术，评判任何软件供应商的设计决策不是我的工作。让我们看看它是如何工作的？在所有以MacOS为实例的基于unix的操作系统上，更新了一个新的功能来逃避主机上的安全软件。
SentinelOne公司的研究员Phil Stokes在周三的一篇文章中说："今年我们发现了该软件的一个新的版本，从攻击者的角度来看，可以感染那些仅仅使用苹果内置安全控件XProtect检测恶意软件的Mac用户。Xprotect标记了AdLoad约11个不同的签名，对用户主文件夹的写入访问本质上没有任何理论上的可能性。虽然经典的操作系统长期以来一直接受这个事实，但在此次新的攻击活动中使用的变体却没有被这些规则检测到。”
AdLoad感染程序
2021年的AdLoad变种出现了一种新的感染方法。首先，根据斯托克斯的技术分析，它们在用户的Library LaunchAgents文件夹中安装一个.system或.service文件扩展名的持久性代理，然后才开始它们的攻击。
当用户登录时，该持久性代理会执行一个隐藏在同一用户的~/Library/Application Support/文件夹中的二进制文件。然而Application Support中的那个文件夹又包含了另一个名为/Services/的目录。
该捆绑文件会包含一个具有相同名称的可执行文件。斯托克斯说，还有一个名为.logg的隐藏文件，其中包含了受害者的通用唯一标识符（UUID），它也包含在Application Support文件夹中。
他指出，这些程序是被混淆加密的Zsh脚本，在攻击的最后从/tmp目录中执行恶意软件（一个shell脚本）之前，会进行一系列的解包。其中许多是经过签名或公证的。
斯托克斯说："通常情况下，我们会观察到，在VirusTotal上观察到样本的几天内（有时是几小时），用于签署droppers的者证书会被苹果公司撤销，然后苹果公司会通过Gatekeeper和OCSP签名检查，来提供一些临时的保护，防止这些特定的签名样本进一步感染，另外，我们通常看到在几小时或几天内就会出现用新证书签名的新样本。真的，这就像是玩打地鼠游戏"。
在任何情况下，最终的有效载荷并不为当前版本的苹果XProtect v2149所知。
利用苹果的XProtect的漏洞
SentinelLabs的研究人员观察到最新的AdLoader样本早在去年11月就开始在攻击活动中使用，但直到今年夏天，特别是7月和8月，攻击的样本数量才开始急剧上升。
斯托克斯说："当然，恶意软件者似乎在量利用XProtect的漏洞进行攻击，在撰写本报告时，XProtect最后一次更新到2149版本是在6月15-18日左右，该恶意软件在VirusTotal的检测率的确很高。一个著名的广告软件变体的数百个独特样本已经流通了至少10个月，但仍未被苹果公司的内置恶意软件扫描器检测到，这一事实表明在Mac设备上很有必要进一步增加终端的安全控制。"
参考及来源：https://threatpost.com/adload-malware-apple-xprotect/168634/
免责声明：文中图片均来源于网络，如有版权问题请联系我们进行删除！
