Mac os x malware găsit pe computerul activistului angolan

Cercetătorii au descoperit programe malware concepute pentru a spiona utilizatorii de pe un Mac activist angolan.

Cercetătorul independent de securitate Jacob Appelbaum a descoperit noua și anterior necunoscută backdoor pe Mac-ul activistului, în timp ce la The Oslo Freedom Forum, a scris Appelbaum pe Twitter. El a descoperit oa doua variantă pe computerul unui alt activist la scurt timp după aceea.

"Se pare că este o componentă nouă cu malware, cu un comportament complet nou", a declarat Bogdan Botezatu, pentru BitWef, pentru SecurityWatch .

Cel puțin în cazul primului atac, activistul a fost victima unui atac de phishing suliță în care a fost îndemnat să descarce și să instaleze malware în timp ce s-a conectat pe Mac, a spus Botezatu.

Ce face Malware-ul

Aplicația din spate pare să ia capturi de ecran ale computerului utilizatorului și să le stocheze într-un folder din directorul de acasă al utilizatorului, numit MacApp, a scris Sean Sullivan de la F-Secure pe blogul companiei. Cercetătorii F-Secure bănuiesc că a fost dezvoltat comercial, a declarat Sullivan pentru SecurityWatch .

Odată instalată, aplicația s-a anexat la lista utilizatorului curent de articole de conectare, o listă de aplicații care se execută automat atunci când utilizatorul se conectează la Mac. Programul malware a încărcat capturile de ecran pe două servere de comandă și control - unul în Olanda și celălalt în Franța.

Scopul principal al serverului de comandă și control este colectarea tuturor capturilor de ecran, dar stochează și numele de gazdă și informații suplimentare despre mașinile infectate, a spus Botezatu. Cercetătorii BitDefender au descoperit că a doua variantă a backdoor-ului Mac a comunicat și cu un server din România pentru a descărca sarcini și componente suplimentare.

Este posibil ca acest server să acționeze ca un defecțiune pentru infractori dacă celelalte servere sunt suspendate, a spus Botezatu.

În timp ce malware-ul în sine a fost „nesofisticat”, a fost în continuare capabil să strângă informații despre activitățile utilizatorului pe acel computer „fără a face prea mult zgomot”, a spus Botezatu.

ID-ul Apple a fost furat?

Programul malware a fost semnat cu un ID de dezvoltator Apple valid, ceea ce înseamnă că nu va fi detectat de funcționalitatea Gatekeeper în Mac OS X. Apple a introdus Gatekeeper, care împiedică executarea aplicațiilor nesemnate descărcate de pe Internet, în Mac OS X Mountain Lion și Lion v10.7.5 anul trecut. BitDefender consideră că aceasta este prima bucată de malware malware semnată digital cu un ID Apple legitim.

În acest moment nu se știe dacă cheia a fost furată de la un dezvoltator legitim sau dacă dezvoltatorul malware a păcălit Apple să genereze ID-ul. Având în vedere că numele este similar cu un celebru star Bollywood care a murit recent, este posibil ca dezvoltatorul să creeze o identitate falsă ca parte a procesului de cerere, a spus Botezatu.

Utilizatorii pot căuta în directorii lor de acasă pentru a vedea dacă există un folder MacApp pentru a afla dacă au fost infectați.

În timp ce malware-ul era „șchiop” de când a fost detectat cu ușurință, acesta era încă „mortal”, a spus Appelbaum. "Problema este că autorul a fost suficient de bun pentru a intra pe cineva în pericol de moarte", a scris Appelbaum pe Twitter.