Trojan.MacOS.NUKESPED.YXBBS

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein und führt sie aus:

• This file is usually included in a malicious pkg file that has a postinstall script. This file contains the malicious payload of the pkg.

Autostart-Technik

Schleust die folgenden Dateien ein:

• /Library/UnionCrypto/unioncryptoupdater (drops malicious file)
• /Library/LaunchDaemons/vip.unioncrypto.plist
  • Note: “vip.unioncrypto.plist” runs “unioncryptoupdater” using the “RunAtLoad” to run the malicious file every time the system is booted. Unioncryptoupdater and vip.unioncrypto.plist are hidden files in the package file

Download-Routine

Öffnet die folgenden Websites, um Dateien herunterzuladen:

• https://{BLOCKED}rypto.vip/update → payload

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Andere Details

Es macht Folgendes:

• Decrypts downloaded payload
• Tries to copy the decrypted payload into memory and execute the payload
• If failed to insert payload into memory, saves downloaded to /tmp/updater
• Will continuously try to repeat the routine every minute