În acest material discutăm despre ChillyHell, un backdoor dezvoltat inițial pentru MacOS dar care a devenit, între timp, capabil să afecteze sistemele Windows și Linux.
Cercetătorii Jamf Threat Labs au confirmat, la începutul lunii mai 2025, reapariția malware-ului ChillyHell, un backdoor pentru macOS care a atras atenția comunității de securitate încă din 2021.
Deși a fost documentat pentru prima dată în detaliu în 2023, noile mostre încărcate pe platforma VirusTotal arată că amenințarea nu doar persistă, ci continuă să fie adaptată și folosită activ.
O particularitate îngrijorătoare este faptul că versiunile inițiale ale acestui malware au fost semnate și notarizate oficial de Apple (adică validat de Apple ca fiind un software legitim), ceea ce a permis distribuirea sa fără a ridica alerte de securitate pentru utilizatori.
Abia după ce cercetătorii au tras semnalul de alarmă, certificatele dezvoltatorului au fost revocate. Investigațiile arată că fișierele infectate au fost găzduite pe platforma Dropbox încă din 2021, ceea ce sugerează o campanie discretă, dar persistentă.
Caracteristici tehnice și metode de atac
ChillyHell este scris pentru arhitecturi Intel și se remarcă printr-o structură modulară. Aceasta îi oferă atacatorului o flexibilitate ridicată, putând fi activat în mai multe scenarii. Printre funcționalitățile identificate se numără:
- Acces de la distanță (RAT): permite controlul complet al sistemului compromis.
- Descărcarea de payload-uri suplimentare: facilitează instalarea altor componente malițioase.
- Atacuri de tip password cracking: încercări de spargere a parolelor locale.
- Persistență avansată: prin LaunchAgent, LaunchDaemon sau injectare în fișierele de configurare shell.
- Comunicații C2 (Command & Control): stabilite prin HTTP sau DNS către servere hardcodate.
Pentru a-și masca activitatea, ChillyHell folosește tehnici sofisticate, precum timestomping (modificarea timestamp-urilor fișierelor pentru a nu atrage atenția). În plus, malware-ul deschide pagina google.com în browserul implicit al utilizatorului, o tactică de camuflaj menită să creeze impresia că aplicația lansată este legitimă.
Extinderea amenințării: ZynorRAT și atacurile cross-platform
Investigațiile recente nu se opresc la macOS. Cercetătorii au descoperit o altă componentă asociată, denumită ZynorRAT, un troian de acces la distanță scris în Go, ceea ce îi conferă o portabilitate ridicată. Acest RAT este capabil să ruleze nu doar pe macOS, ci și pe Windows și Linux, ceea ce marchează o evoluție importantă a campaniilor de atac.
Această abordare cross-platform arată că actorii din spatele ChillyHell nu se limitează la un singur ecosistem, ci încearcă să își maximizeze impactul vizând infrastructuri mixte, acolo unde sistemele de operare coexistă și unde un atac coordonat poate produce efecte mult mai grave.
Implicații și recomandări
Revenirea ChillyHell și apariția ZynorRAT confirmă tendința grupărilor de hackeri de a dezvolta malware modular, adaptabil și dificil de detectat. Dincolo de aspectul tehnic, problema ridică semne de întrebare și în ceea ce privește securitatea lanțului de aprobare al aplicațiilor – mai ales când un software malițios reușește să treacă inițial de verificările Apple.
Specialiștii în securitate recomandă utilizatorilor și organizațiilor:
- instalarea constantă a celor mai recente actualizări de sistem și aplicații;
- monitorizarea atentă a proceselor și conexiunilor de rețea;
- folosirea unor soluții de securitate dedicate, capabile să detecteze comportamente suspecte;
- evitarea descărcării de fișiere din surse necunoscute sau neverificate.
Sfaturi pentru protecția infrastructurii de la birou
Infrastructurile IT din mediul de lucru sunt expuse la o gamă largă de programe malițioase, precum spyware, adware, scareware, ransomware, rootkit, trojan horse, worm, fileless malware, wiper malware și cryptojacking malware. Aceste amenințări pot afecta performanța sistemelor, compromite datele sensibile și perturba activitatea zilnică a organizației. Pentru a reduce riscurile, se recomandă adoptarea unor măsuri clare de securitate cibernetică:
- Utilizarea unei soluții antivirus avansate, cu consolă centralizată – un software capabil să detecteze și să blocheze atât amenințările cunoscute, cât și atacurile moderne, inclusiv malware-ul fileless sau ransomware-ul sofisticat.
- Instalarea unui firewall hardware dedicat – pentru a controla traficul de rețea, a filtra conexiunile suspecte și a crea un strat suplimentar de protecție între internet și infrastructura internă.
- Realizarea de backup-uri regulate – copiile de siguranță permit restaurarea rapidă a datelor în cazul unui atac, reducând impactul financiar și operațional.
- Aplicarea constantă de patch-uri și actualizări – menținerea sistemelor și aplicațiilor la zi previne exploatarea vulnerabilităților cunoscute de către atacatori.
- Evitarea instalării de aplicații din surse nesigure – software-ul neaprobat poate introduce malware ascuns și deschide breșe în infrastructura organizațională.
- Atenție sporită la mesajele spam și linkurile suspecte – angajații trebuie să fie vigilenți la e-mailuri necunoscute, atașamente și linkuri care ar putea fi folosite pentru phishing sau instalarea de malware.
- Restricționarea accesului la site-uri irelevante pentru activitatea profesională – limitarea navigării pe web reduce riscul de infectare prin reclame malițioase sau pagini compromise.
Aceste măsuri, combinate cu instruirea continuă a angajaților privind recunoașterea tentativelor de atac și bune practici de securitate, contribuie la consolidarea protecției infrastructurii de birou și la reducerea impactului unor incidente cibernetice.
Concluzie
ChillyHell nu este doar un exemplu de malware care revine în actualitate după ani de aparentă inactivitate, ci și o dovadă a modului în care atacatorii cibernetici evoluează.
Asocierea cu ZynorRAT și extinderea către Windows și Linux transformă această amenințare într-un pericol cross-platform care poate afecta atât utilizatorii individuali, cât și companiile cu infrastructuri complexe.
Dacă aveți nevoie de ajutor pentru securizarea și actualizarea infrastructurii companiei, vă stăm la dispoziție.
Zemernett este o companie de prestari servicii IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, punând activ umărul la dezvoltarea IT a companiilor client.
