Novi OS X backdoor malver iWorm zarazio 17000 Mac računara

Vesti, 03.10.2014, 08:12 AM

Istraživači ruskog proizvođača antivirusa kompanije Doctor Web otkrili su i analizirali maliciozni program Mac.BackDoor.iWorm, pretnju koja je do 29. septembra zarazila više od 17000 Mac računara koji su regrutovani u veliku bot mrežu.

Istraživači ruske kompanije nisu objasnili je kako se malver širi, ali su rekli da se malver raspakuje u direktorijumu /Library/Application/Support/JavaW, sakriven kao aplikacija com.JavaW i automatski se pokreće.

Kompromitovani računari dobijaju komande sa servera koji su pod kontrolom operatera bot mreže, koristeći informacije koje se nalaze u porukama na Redditu.

Mac.BackDoor.iWorm otvara ulaz na zaraženom računaru i čeka dolaznu konekciju. Malver šalje zahtev web serveru tražeći listu kontrolnih servera, a zatim se povezuje sa njima i čeka instrukcije.

Upit koji šalje malver određen je trenutnim datumom čija vrednost u danima se izračunava na specifičan način, i ta vrednost je hashovana. Prvih 8 bajtova MD5 hash vrednosti iz aktuelnog datuma su uključeni u upit i šalju se web serveru/web sajtu Reddit.

Pretraga reddit.com vraća web stranicu koja sadrži spisak C&C servera i portova bot mreže, a listu objavljuju kriminalci u komentarima na post minecraftserverlist naloga avtnhiaovyd. Ovaj nalog i njegove objave su sada uklonjeni.

To nije krivica Reddita. Čak i da je Reddit ugasio naloge koji komuniciraju sa malverom, ništa ne bi sprečilo kriminalce koji su odgovorni za nastanak ove bot mreže da otvore nove naloge ili iskoriste druge servise, kao što je Twitter na primer, za komunikaciju sa kompromitovanim računarima.

Kada se backdoor identifikuje jednom od C&C servera, on šalje informacije o otvorenom portu na zaraženom računaru i njegov jedinstveni ID i čeka instrukcije.

Bot mreža računara zaraženi malverom iWorm može se koristiti za DDoS napade, spam, krađu informacija i druge aktivnosti. Istraživači ruske firme nisu rekli kako se bot mreža trenutno koristi, pa je moguće da su oni koji stoje iza nje u ovom momentu koncentrisani na njen rast.

Nešto više od četvrtine zaraženih računara se nalazi u SAD, 7% u Kanadi, 7% u Velikoj Britaniji, a ostatak u Evropi, Australiji, Rusiji, Brazilu i Meksiku.

Ovo nije prvi put da Mac računari budu deo bot mreže, a ova najnovija nije ni blizu bot mreže crva Flashback koji je početkom 2012. zarazio više od 600000 Mac računara.

Više informacija o malveru iWorm možete naći na web sajtu firme Doctor Web.