«Пророссийские хакеры» создали первые шпионские приложения для iPhone

«Пророссийские хакеры» создали первые шпионские приложения для iPhone

Эксперты по информационной безопасности из компании Trend Micro сообщили об обнаружении двух шпионских приложений для мобильной платформы iOS, на которой работают iPhone, iPad и iPod touch. Первое приложение называется XAgent (оно детектируется в системе как iOS_XAgent.A).

Второе приложение маскируется под существующую безвредную игру для iOS, MadCap. Детектируется оно как iOS_XAgent.B. Обе программы крадут персональные данные и отправляют собранную информацию на командно-контрольный сервер. На момент публикации статьи этот сервер продолжал функционировать, говорится в блоге Trend Micro, передает cnews.ru.

Приложение XAgent отправляет на сервер текстовые сообщений, контакты, фотографии, геолокационные данные, список установленных приложений, список процессов, статус Wi-Fi и может активировать запись разговоров.

После установки на устройство под управлением iOS 7 приложение XAgent сразу же запускается в фоне, без создания ярлыка на домашнем экране. Если попытаться прервать процесс приложения, то он тут же перезапускается. При установке на iOS 8 перезапуск программы необходимо осуществлять вручную. Это позволяет предположить, что она была разработана до выхода новой версии платформы, говорят в Trend Micro.

XAgent может быть установлен как на взломанное устройство, так и на устройство с нетронутой официальной прошивкой.

Вторая программа, MadCap, может быть установлена только на взломанные аппараты. Она главным образом предназначена для записи разговоров.

Аналитики из Trend Micro не знают, каким образом XAgent и MadCap устанавливаются на устройства. Скорее всего, это необходимо делать вручную. На корпоративные устройства или на устройства разработчиков их можно установить по прямой ссылке, так как в этом случае необязательно, чтобы приложение находилось в официальном каталоге Apple App Store.

Вероятно, существуют и другие методы установки вредоносных приложений, добавили эксперты. Например, путем подключения устройства к компьютеру под управлением Windows с помощью USB-кабеля.

В Trend Micro добавили, что оба вредоносных приложения используются в рамках операции кибершпионажа Pawn Storm, ориентированной на промышленный и государственный сектора. Как пишет Computerworld со ссылкой на экспертов Trend Micro, операция проводится «пророссийскими хакерами».

В ноябре 2014 г. специалисты по ИБ обнаружили в операционной системе Apple iOS уязвимость, позволяющую хакерам маскировать вредоносные программы и выдавать их за подлинные. Брешь была классифицирована как самая серьезная из найденных за все время, так как могла быть использована в том числе на устройствах без джейлбрейка.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Кто-то запустил в контейнерные среды сетевого червя для майнинга Dero

Эксперты «Лаборатории Касперского» выявили эпидемию криптоджекинга в контейнерных средах. Авторы атак проникают в инфраструктуру через открытые API Docker и внедряют майнер Dero, а также сетевого червя для дальнейшего распространения инфекции.

В зоне риска — ИТ-компании, облачные и хостинг-провайдеры, не уделяющие должного внимания защите API Docker и контролю над такими интерфейсами.

Получив первоначальный доступ, злоумышленники не только заражают существующие контейнеры, но также создают новые на основе стандартного образа Ubuntu и внедряют в них двух написанных на Go вредоносов с безобидными именами cloud и nginx.

Первый представляет собой кастомный майнер Dero (результат VirusTotal33/65 по состоянию на 22 мая), второй — ранее неизвестный Linux-троян, отвечающий за обеспечение бесперебойной добычи криптовалюты, а также за проведение веб-атак на другие сети.

Поиск незащищённых контейнерных сред осуществляется автоматически с помощью утилиты masscan. Подобная организация атак снимает необходимость в использовании C2-сервера.

 

«Такой метод может привести к огромному росту числа заражений, — предупреждает Виктор Сергеев, возглавляющий команду Kaspersky Incident Response. — Каждый скомпрометированный контейнер — это потенциальный источник кибератак, если в сетях, которые могут стать мишенью, не будут заблаговременно приняты меры безопасности».

Примечательно, что в текущей кампании используются узлы Dero и кошелек, засветившиеся два года назад в криптоджекинг-атаках на кластеры Kubernetes.

Поиск по Shodan, проведенный экспертами в прошлом месяце, выявил в интернете 520 доступных API Docker, опубликованных на порту 2375. Угроза актуальна также для России и стран СНГ.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru