Предполагали, что цифровые подписи защищают от всего? Как бы не так.

Специалисты компании SentinelOne обнаружили новые следы активности вредоносного программного обеспечения ZuRu, нацеленного на пользователей macOS. Основной метод распространения этого вредоноса — подмена популярных приложений под управлением macOS, в частности маскировка под Termius, кроссплатформенное средство управления SSH-подключениями.

Первое упоминание о вредоносе ZuRu появилось в сентябре 2021 года на китайском ресурсе Zhihu. Тогда зловред распространялся через поддельные сайты, которые подменяли результаты поиска по легитимному терминальному приложению iTerm2 и предлагали загрузить фальшивые установщики. В январе 2024 года команда Jamf Threat Labs обнаружила, что вредонос продолжил свою эволюцию, попадая на компьютеры с помощью взломанных версий Remote Desktop от Microsoft, SecureCRT и Navicat.

Согласно последнему отчету SentinelOne, новая волна атак была зафиксирована в мае 2025 года. Вредонос распространялся через модифицированный образ .dmg, содержащий поддельную версию приложения Termius. Основной особенностью стало то, что в комплект Termius Helper.app были внедрены два исполняемых файла: «.localized» и «.Termius Helper1». Первый представляет собой загрузчик, предназначенный для скачивания и запуска управляющего маяка Khepri с удаленного сервера, а второй — подмененная версия оригинального помощника Termius.

Для обхода системной защиты macOS, злоумышленники удалили оригинальную цифровую подпись разработчика и заменили ее на собственную временную подпись, что позволило пройти проверку на подлинность кода. Этот подход отличается от предыдущих методов: если раньше использовалась подгрузка внешней динамической библиотеки (.dylib) в основной исполняемый файл, то теперь вредонос встраивается через вспомогательное приложение внутри легитимного пакета.

Загрузчик также реализует механизм постоянства: он проверяет наличие вредоносного кода по пути «/tmp/.fseventsd» и сравнивает хэш текущего файла с эталонным, размещенным на сервере. В случае несовпадения загрузка новой версии производится автоматически, что обеспечивает как обновление вредоноса, так и контроль целостности кода.

Khepri, используемый как ядро вредоносной нагрузки, является мощным инструментом удаленного доступа. Он позволяет атакующим передавать и получать файлы, изучать характеристики системы, запускать произвольные процессы и фиксировать их результаты. Связь с управляющим сервером устанавливается через домен «ctl01.termius[.]fun», а первичная загрузка маяка идет с «download.termius[.]info».

Команда SentinelOne подчеркивает, что выбор легитимных, популярных среди разработчиков и IT-специалистов приложений в качестве прикрытия остается излюбленной тактикой создателей ZuRu. Несмотря на смену техник внедрения и обхода защиты, сохраняются общие подходы: от шаблонов в доменных именах до специфических названий файлов и схем установки постоянства. Это свидетельствует о высокой эффективности таких атак в тех средах, где отсутствует надежная защита конечных точек.