Er is ontdekt dat een voorheen ongedocumenteerd op Rust gebaseerd macOS-implantaat en informatiedief een snelle injectie-payload bevat die is ontworpen om de kunstmatige intelligentie (AI)-tools van een malware-analist te misleiden en deze te misleiden om een analyse van het artefact af te breken of te weigeren.
De malware heeft de codenaam Gaslicht vanwege dit misleidende gedrag. Er is met grote zekerheid vastgesteld dat dit instrument het werk is van aan Noord-Korea verbonden dreigingsactoren.
“Het meest opvallende kenmerk is een ingebedde cascade van verzonnen systeemstoringsberichten, ontworpen om een door LLM ondersteunde triage-agent aan zijn eigen sessie te laten twijfelen”, zei SentinelOne-onderzoeker Phil Stokes in een technisch rapport. “Het valt de perceptie van de agent aan, in plaats van de zandbak waarin hij zich bevindt.”
Centraal in de architectuur van de malware staat een op Telegram-bot API gebaseerd command-and-control (C2)-kanaal dat in een polling-lus terechtkomt, waardoor de operator instructies kan geven via een interactieve shell en de resultaten van de uitvoering kan retourneren. In het geval dat twee exemplaren van dezelfde bottokenpoll tegelijkertijd plaatsvinden, wordt een ‘Conflict’-antwoord gegeven, waardoor de tweede kopie wordt beëindigd.
De shell ondersteunt zes hoofdopdrachten, waardoor de geïnfecteerde host blijvend voet aan de grond krijgt:
- help, om opdrachthulp te tonen
- id, om het implantaat voor de operator te identificeren
- shell, om een shell-opdracht uit te voeren via execvp
- kill, om een doelproces via PID te beëindigen
- uploaden, om een bestand te exfiltreren via het “attach://”-mechanisme van Telegram
- stop, om de uitvoering van het implantaat te stoppen
SentinelOne zei dat het tekenen heeft geïdentificeerd die wijzen op de aanwezigheid van een zevende commando met de naam ‘focus’, hoewel de functionaliteit ervan in dit stadium nog onbepaald blijft. Om persistentie te bereiken, maakt Gaslight gebruik van een LaunchAgent die het label “com.apple.system.services.activity” gebruikt in zijn .plist-bestand.
Ook ingebed in de malware is een 6,6 KB Base64-gecodeerd Python-script dat functioneert als een informatieverzamelingssuite die verantwoordelijk is voor het verzamelen van Terminal-opdrachtgeschiedenissen, geïnstalleerde applicatielijsten, momentopnamen van lopende processen, systeemhardware- en softwareprofielen, macOS-sleutelhangerdatabase en gegevens van Chrome-, Brave-, Firefox- en Safari-webbrowsers. De verzamelde gegevens worden vervolgens gecomprimeerd in een ZIP-archief (“temp/collected_data.zip”) en geüpload via Telegram.
De Python-stealer wordt op zijn beurt ingezet door middel van een afzonderlijk Base64-gecodeerd bash-installatieprogramma van 2 KB, dat een cpython-3.10.18-interpreter uit het “astral-sh/python-build-standalone”-project verwijdert. De aanwezigheid van emoji’s en uitgebreide commentaarkoppen geeft aan dat deze waarschijnlijk is gegenereerd met behulp van een groot taalmodel (LLM).
Wat opvalt aan Gaslight is dat details met betrekking tot het bottoken, de chat-ID (tg_room_id) en de rest van de operatorconfiguratie niet hardgecodeerd in het voorbeeld zijn, maar eerder tijdens runtime worden verstrekt. “Het implantaat redigeert zelf zijn Telegram-bottoken in zijn eigen runtime-uitvoer en ontzegt het aan iedereen die logs vastlegt of crash-artefacten vastlegt”, voegde Stokes eraan toe.
Bovendien probeert de malware een op AI gebaseerde detectie te omzeilen door een Markdown-afgeschermd blok op te nemen met 38 verzonnen ‘systeem’-berichten die zijn ontworpen om een beveiligingsagent te misleiden om de analyse af te breken, in te korten of te weigeren.
“Het schavot bevat nep-systeemberichten over het verlopen van tokens, het leegmaken van het geheugen, het uitputten van de schijf en het herhaaldelijk mislukken van de werking. Het plant ook valse waarschuwingen over injectiekwetsbaarheden en vlaggen voor statische analyse”, zei SentinelOne, en noemde het een “poging om de LLM-ondersteunde triage-pijplijnen te bewapenen die steeds meer in de reverse-engineering-lus zitten.”
