Шпионская программа для Mac, MacSpy, предлагается бесплатно на форумах

Шпионская программа для Mac, MacSpy, предлагается бесплатно на форумах

Эксперты сообщают о том, что спустя всего несколько дней после того, как был обнаружен MacRansom, они наткнулись на первый вредонос-как-сервис (malware-as-a-service, MaaS) для пользователей Mac на открытом форуме, он доступен бесплатно.

Получивший имя MacSpy, вредонос, по заявлениям авторов, представляет собой «самую сложную шпионскую программу для Mac». Разработчики рекламируют MacSpy как бесплатную программу с расширенным функционалом.

Бесплатный вариант зловреда включает поддержку анонимной связи по сети TOR, позволяет делать снимки экрана, логировать нажатия клавиш, записывать голос, извлекать содержимое буфера обмена и данные браузера и перехватывать фотографии iCloud во время процесса синхронизации. Более того, эксперты AlienVault утверждают, что он рекламируется как вредоносная программа, осуществляющая рекордно низкую загрузку памяти и процессора.

Платный вариант предположительно также позволяет злоумышленникам настраивать интервалы записи, может извлекать любые файлы и данные с Mac, шифровать весь каталог пользователя за считанные секунды и маскировать вредоноса под легитимный формат файла.

Кроме того, он поддерживает ежедневную архивацию собранных файлов, доступ к электронным сообщениям и учетным записям в социальной сети, а также подпись кода.

Для того, чтобы заполучить этого MacSpy, придется отправить электронное письмо автору с желаемым именем пользователя и паролем. После создания учетной записи автор отправляет zip-файл новому пользователю вместе с инструкцией.

Судя по всему, злоумышленники могут заражать компьютеры, помещая распакованную папку MacSpy на USB-накопитель и вручную запуская 64-битный исполняемый файл, который называется «updated». Исполняемый файл не подписан, детекта антивирусов, если верить VirusTotal, на него нет.

В дополнение к файлу «updated» архив содержит 64-битный исполняемый файл «webkitproxy», 64-разрядную динамическую библиотеку libevent-2.0.5.dylib и файл конфигурации. Учитывая, что webkitproxy и libevent-2.0.5.dylib подписаны TOR, исследователи пришли к выводу, что они связаны с функцией маршрутизации Tor Onion.

Вредоносная программа также имеет функции анти-анализа, такие как проверку отладчика и виртуализации (количество ядер процессора, объем памяти). Он также проверяет, работает ли он именно на Mac. Для того, чтобы выполняться при каждом запуске, MacSpy создает запись в ~/Library/LaunchAgents/com.apple.webkit.plist.

После запуска вредонос копирует себя в ~/Library/.DS_Stores/ и удаляет исходную папку. Затем он использует команду curl для связи с командным сервером (C&C) и отправляет собранные данные с помощью POST-запросов через прокси-сервер TOR. Также он удаляет временные файлы, которые использует для сбора данных.

обнаружен MacRansom, они наткнулись на первый вредонос-как-сервис (malware-as-a-service, MaaS) для пользователей Mac на открытом форуме, он доступен бесплатно.

" />

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Казино и букмекеры проводят более 1 млн транзакций в год через счета дропов

Нелегальные казино и букмекеры пытаются обойти ограничения Банка России на высокорисковые платежи различными способами. По данным F.A.C.C.T., за год теневой бизнес может совершать более 1 млн транзакций через счета дропов, в том числе с помощью ботов.

Для обхода регуляторных запретов на рынке серых расчетов используются H2H-переводы (host-to-host), мискодинг (замена назначения платежей), электронные кошельки, редиректы, хеширование доменов. Согласно наблюдениям, в выходные дни число операций в рамках серых схем возрастает на 15-20% в выходные дни, когда активизируются любители азартных игр.

В феврале этого года было зафиксировано две волны роста числа подобных операций, притом их количество было в три раза больше в сравнении с январем. В этот же период на теневом рынке в полтора раза (до 30 тыс. руб.) возросла стоимость заказа банковских карт, оформленных на дропов (сейчас в основном регистрируются на приезжих из стран СНГ).

Беда в том, что участники рынка высокорисковых платежей быстро адаптируются к мерам защиты финансовой сферы и вводимым ограничениям. Финансовым организациям такие ухищрения грозят ростом мошеннической активности в системах ДБО, повышенным вниманием регуляторов, и даже отзывом лицензии.

«В противодействии незаконным операциям финансовым организациям помогут решения с анализом сессионных и поведенческих данных пользователей, — отметила Татьяна Никулина, аналитик из команды F.A.C.C.T. Fraud Protection. — Если говорить про переводы Host-To-Host, решением для банков являются инструменты национального антифрода, которые могут обрабатывать транзакции и оценивать как отправителя, так и получателя платежа в синхронном режиме».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru