Novi malver za macOS krije se u piratskom softveru

Opisi virusa, 05.12.2023, 11:30 AM

Stručnjaci iz kompanije Kaspersky upozoravaju da sajber kriminalci napadaju korisnike macOS-a novim proksi trojanskim malverom koji je sakriven u popularnom softveru.

Trojanac inficira računare pretvarajući ih u terminale za anonimizaciju zlonamernih ili ilegalnih aktivnosti kao što su hakovanje, fišing i transakcije prilikom kupovine nelegalne robe.

Prodaja pristupa proksijima je unosan posao koji je iznedrio masivne bot mreže, a ni Mac uređaji nisu toga pošteđeni.

Sajber kriminalci koriste spremnost ljudi da rizikuju bezbednost svog računara samo da izbegnu plaćanje aplikacija.

Kaspersky je pronašao 35 programa za uređivanje slika, kompresiju i uređivanje videa, oporavak podataka i alate za skeniranje mreža.

Najpopularniji programi koji su primećeni u ovoj kampanji su 4K Video Downloader Pro, Aissessoft Mac Data Recovery, Aiseesoft Mac Video Converter Ultimate, AnyMP4 Android Data Recovery for Mac, Downie 4, FonePaw Data Recovery, Sketch, Wondershare UniConverter 13, SQLPro Studio i Artstudio Pro.

Kaspersky kaže da se, za razliku od legitimnog softvera koji se distribuira kao ISO fajl, trojanizovane verzije preuzimaju kao PKG fajlovi. PKG fajlovi su rizični jer mogu da izvršavaju skripte tokom instalacije aplikacije.

Pošto se instalacioni fajlovi pokreću sa administratorskim pravima, sve skripte dobijaju iste dozvole tako da mogu da izvode opasne radnje, uključujući modifikaciju fajla, automatsko pokretanje fajla i izvršavanje komande.

U ovom slučaju, ugrađene skripte se aktiviraju nakon instalacije programa da bi pokrenule trojanca, WindowServer fajl, i učinile da se pojavi kao sistemski proces.

WindowServer je legitimni sistemski proces u macOS-u odgovoran za upravljanje grafičkim korisničkim interfejsom, jer napadači imaju cilj da se trojanac stopi sa rutinskim sistemskim operacijama i izbegne da ga korisnik primeti.

Nakon pokretanja, trojanac se povezuje sa svojim C2 (komandnim i kontrolnim) serverom da bi dobio komande za dalji rad.

Osim ovoga, ista C2 infrastruktura se koristi i za trojance za Android i Windows, tako da se nameće zaključak da isti operateri verovatno ciljaju širok spektar sistema.

Foto: Tayyab Ejaz / Unsplash