Вредоносные программы, использующие макросы теперь атакуют и macOS

Вредоносные программы, использующие макросы теперь атакуют и macOS

Вредоносные программы, использующие макросы теперь атакуют и macOS

Более десяти лет вредоносные программы, использующие макросы в документах Microsoft Office активно атаковали операционные системы Windows. Теперь же подобные зловреды представляют угрозу и для пользователей MacOS.

Эксперт из Synack, Патрик Уордл (Patrick Wardle), недавно обнаружил атаку на пользователей MacOS, использующую ту же тактику с вредоносными макросами, которая была так успешна в случае с Windows. По словам Уордла, атака осуществлялась с помощью документа под названием «U.S. Allies and Rivals Digest Trump’s Victory - Carnegie Endowment for International Peace.docm».

Используя ClamAV sigtool для извлечения макросов, эксперт наткнулся на код Python, предназначенный для выполнения ряда проверок на компьютере потенциальной жертвы, который затем выполняет вредоносные действия. Как только пользователь открывает документ в Word для Mac (при этом макросы должны быть включены) начинает выполняться функция Фишера.

Функция Фишера декодирует base64-данные и выполняет их с помощью Python. Python-код, по утверждениям экспертов, был скопирован с проекта с открытым исходным кодом EmPyre. Он проверяет, не активирован ли в системе LittleSnitch и загружает вредоносный компонент с адреса hxxps[:]//www. securitychecking.org:443/index[.]asp. Затем код расшифровывает и запускает этот компонент.

К сожалению, эксперту пока не удалось проанализировать то, что загружается с вышеуказанного адреса, так как этот файл не был доступен во время анализа.

«ПО моим предположениям, второй компонент, который загружается вредоносом в ходе установки, обеспечивает удаленному злоумышленнику постоянный доступ к зараженному устройству» - говорит исследователь.

IP-адрес домена securitychecking(.)org, на котором располагается вредоносный компонент, указывает на Россию и ранее был связан с фишингом.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

Многие не могут попасть в Госуслуги без MAX

Некоторые пользователи при входе в приложение Госуслуги столкнулись с предложением подключить мессенджер MAX для получения кодов подтверждения. При этом пропустить экран с таким уведомлением невозможно. Судя по всему, новое окно с безальтернативным выбором российского мессенджера появляется у тех, кто ещё не настроил двухфакторную аутентификацию, однако для её изменения всё равно требуется зайти в аккаунт.

На проблему обратило внимание РИА Новости. Один из корреспондентов агентства лично столкнулся с тем, что пропустить экран с предложением использовать MAX для получения кодов подтверждения при входе в приложение невозможно.

Функция получения кодов через MAX появилась в августе 2025 года. Она доступна даже в случаях, когда пользователь не может получить СМС.

Как отмечает портал «Код Дурова», появление экрана с требованием подключить MAX не зависит от того, зарегистрирован ли пользователь Госуслуг в этом мессенджере.

По данным исследования «Кода Дурова», в десктопных версиях браузеров подобное “незакрываемое” окно появляется реже — даже при активации режима «Запросить настольную версию сайта» в мобильном браузере.

Однако этот способ не гарантирует полного обхода проблемы. Альтернативой может стать изменение настроек двухфакторной аутентификации непосредственно в мобильном приложении Госуслуг.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

RSS: Новости на портале Anti-Malware.ru