Исследователи обнаружили две версии Silver Sparrow - одна предназначена для устройств Мас на базе процессоров Intel, а вторая - для компьютеров на базе нового чипа Apple M1. Ранее в этом месяце эксперт по безопасности Патрик Уордл (Patrick Wardle), предупредил о вредоносном приложении, разработанном специально под M1.
Пока вредонос только инфицирует Mac, не загружая полезную нагрузку, поэтому выяснить, в чем цель Silver Sparrow специалистам не удалось. В частности, версия для Intel при исполнении отображает текст «Привет, Мир!» («Hello World»), а вариант для М1 - «Вы это сделали!» («You did it!»). Оба бинарных файла не выполняют никаких функций, являясь так называемыми «сторонними наблюдателями». Кроме того, Silver Sparrow обладает функцией самоуничтожения, однако в каких случаях она запускается, также неизвестно.
По словам экспертов, Apple уже отозвала сертификат разработчика для обоих файлов. Для выполнения команд вредонос использует macOS Installer JavaScript API, что усложняет анализ содержимого инсталляционных пакетов.
После установки Silver Sparrow ищет URL, с которого загружался инсталляционный пакет, возможно, таким образом операторы программы определяют наиболее успешный метод дистрибуции. На данный момент неясно, как и где вредоносная программа распространяется или как она устанавливается.
Более подробный технический анализ бинарных файлов и индикаторы компрометации (Indicators of Compromise, IoCs), доступны в отчете исследователей.