Nowy backdoor FlutterShell atakuje użytkowników macOS przez fałszywe reklamy
Operacja FlutterBridge to kampania malvertisingowa, która rozprzestrzenia nowego backdoora FlutterShell na macOS. Atakujący podszywają się pod legalne aplikacje, by przejąć kontrolę nad komputerem ofiary.
Badacze z firmy Palo Alto Networks (jednostka Unit 42) ujawnili szczegóły kampanii malvertisingowej oznaczonej jako Operation FlutterBridge. Celem kampanii są użytkownicy systemu macOS, a narzędziem ataku jest nowy backdoor o nazwie FlutterShell. Złośliwe oprogramowanie jest rozprzestrzeniane za pośrednictwem fałszywych reklam w wyszukiwarce Google i podszywa się pod legalne aplikacje, takie jak odtwarzacz podcastów czy czytnik PDF. Celem kampanii jest nie tylko wyświetlanie niechcianych reklam, ale przede wszystkim uzyskanie pełnej kontroli nad zainfekowanym komputerem.
Czym jest FlutterShell i jak działa?
FlutterShell to backdoor napisany we frameworku Flutter. Jak opisują badacze Unit 42, jego architektura opiera się na mechanizmie WebView i mostku JavaScript-do-natywnego kodu. Oznacza, że złośliwa logika nie jest wbudowana bezpośrednio w plik binarny, ale jest pobierana dynamicznie z zewnętrznego serwera atakujących. Dzięki temu autorzy mogą w czasie rzeczywistym zmieniać zachowanie backdoora bez konieczności ponownego kompilowania czy dystrybuowania aplikacji.
Po uruchomieniu na komputerze ofiary FlutterShell umożliwia atakującym:
- wykonywanie dowolnych poleceń w systemie,
- manipulowanie plikami i katalogami,
- kradzież zmiennych środowiskowych.
W zbadanych próbkach malware działał jako adware, modyfikując konfigurację przeglądarki Google Chrome. Każdy ruch sieciowy był przekierowywany przez pośredniczącą witrynę atakujących, która wyświetlała reklamy. Jednak ze względu na pełne możliwości backdoora, infekcja może w każdej chwili przerodzić się w poważniejsze zagrożenie, takie jak kradzież danych lub instalacja dodatkowego złośliwego oprogramowania.
W jaki sposób rozprzestrzeniany jest FlutterShell?
Kampania Operation FlutterBridge wykorzystuje fałszywe reklamy w Google Ads – malvertising. Atakujący założyli setki zweryfikowanych przez Google kont reklamowych, używając do tego sieci firm przykrywek. Reklamy były wyświetlane na całym świecie, ze szczególnym uwzględnieniem krajów anglojęzycznych i Europy Zachodniej.
Po kliknięciu w reklamę użytkownik trafiał na stronę oferującą pobranie pozornie legalnej aplikacji. Badacze zidentyfikowali trzy wersje FlutterShella podszywające się pod odtwarzacz podcastów oraz dwa różne czytniki PDF. Każda z tych aplikacji była w pełni funkcjonalna – uruchamiała się i działała zgodnie z przeznaczeniem, jednocześnie w tle wykonując złośliwy kod.
Co istotne, wszystkie próbki zostały podpisane ważnym certyfikatem Apple Developer ID i pomyślnie przeszły proces notarializacji Apple. Oznacza, że automatyczne mechanizmy bezpieczeństwa Apple nie wykryły ich jako zagrożenia w trakcie przesyłania. W chwili analizy żadna z trzech aplikacji nie była również wykrywana przez skanery antywirusowe na VirusTotal.
Kto jest celem i jakie jest ryzyko?
Kampania FlutterBridge to kontynuacja wcześniejszych działań grupy określanej przez Unit 42 jako CL-CRI-1089. Grupa ta działa co najmniej od 2023 roku i odpowiada za wcześniejsze kampanie wymierzone w użytkowników Windows i macOS. Zdaniem badaczy, atakujący są motywowani finansowo – początkowo dystrybuowali standardowe adware, ale z czasem przeszli do dystrybucji backdoorów z pełnymi możliwościami.
Ryzyko dla przeciętnego użytkownika macOS jest realne. Osoby, które w ostatnim czasie pobrały darmowe aplikacje z reklam w Google, szczególnie podcast player czy czytnik PDF, powinny zachować czujność. FlutterShell jest w stanie kraść dane, śledzić aktywność i potencjalnie instalować dodatkowe złośliwe oprogramowanie. Użytkownicy, którzy podejrzewają infekcję, powinni sprawdzić listę zainstalowanych aplikacji i uruchomić pełne skanowanie za pomocą renomowanego oprogramowania antywirusowego.
Jak się chronić?
Najskuteczniejszą obroną przed tego typu zagrożeniami jest ostrożność i świadomość. Przede wszystkim warto pobierać oprogramowanie wyłącznie z oficjalnych źródeł – App Store lub bezpośrednio ze stron producentów. Należy też zwrócić uwagę na adres URL reklamy przed kliknięciem oraz na to, czy aplikacja nie pojawiła się nagle jako sponsorowany wynik wyszukiwania.
Dodatkowym zabezpieczeniem może być korzystanie z narzędzi typu AdBlock lub uBlock Origin, które blokują wiele szkodliwych reklam. Dla bardziej zaawansowanych użytkowników, badacze zalecają również monitorowanie aktywności sieciowej i zwracanie uwagi na nietypowe połączenia wychodzące. W przypadku podejrzenia infekcji należy jak najszybciej odłączyć komputer od internetu i skonsultować się ze specjalistą ds. bezpieczeństwa.
Apple, po zgłoszeniu kampanii przez Palo Alto Networks, zawiesiło konta deweloperskie wykorzystywane przez atakujących. Firma Google również zareagowała, zawieszając konta reklamowe powiązane z kampanią. Mimo to, z uwagi na dynamiczny rozwój FlutterShella i ciągłe pojawianie się nowych wariantów, należy spodziewać się kolejnych fal ataków.
Warto śledzić komunikaty firm bezpieczeństwa oraz aktualizacje systemu macOS, które mogą zawierać poprawki utrudniające działanie tego typu backdoorów. Podstawą jest jednak zdrowy rozsądek i zasada ograniczonego zaufania wobec reklam w internecie.
