실행 형식과 서명의 의미

범용 Mach-O는 여러 CPU용 코드를 포함하는 형식입니다. Cuckoo Stealer의 Intel 및 ARM 대상 구현과 일반적인 CPU 호환성 설명은 악성 여부와 별개로 구분합니다.

Janicab처럼 유효한 개발자 ID를 이용한 악성코드도 보고됐습니다. 서명은 서명 주체와 파일 상태를 확인하는 근거 중 하나이며 악성 기능이 전혀 없다는 보증은 아닙니다.

권한과 실제 수집 대상

OSX_OCEANLOTUS.D는 사용자 또는 root 권한에 따라 실행을 조정하는 구조로 보고됐습니다. 권한 요청 화면, 실제 승인된 권한과 실행된 동작을 각각 확인합니다.

키체인과 브라우저 및 사용자 파일 접근은 서로 다른 대상입니다. Keydnap처럼 키체인 자료를 다루는 계열과 CookieMiner처럼 세션 및 채굴을 함께 다루는 계열의 기능을 합치지 않습니다.

Launch Agent와 Launch Daemon, 로그인 항목 및 스크립트는 설치 위치와 실행 권한이 다릅니다. 정상 자동화 기능과 악성 설정을 구분하고 본체뿐 아니라 실제 배치된 모듈 및 통신을 확인합니다.

OSAMiner의 실행 전용 AppleScript 같은 표현은 분석 방법과 자료 확보 조건에 영향을 줍니다. 분석이 어려웠다는 과거 관찰을 영구적인 탐지 불가능성으로 표현하지 않습니다.