Эксперты Fortinet обнаружили новый macOS-вымогатель MacRansom

Эксперты Fortinet обнаружили новый macOS-вымогатель MacRansom

Эксперты Fortinet обнаружили новый macOS-вымогатель MacRansom

Исследователи Fortinet предупреждают о новом вымогателе, ориентированном на пользователей macOS, вредонос использует модель распространения, известную как вымогатель-как-услуга (Ransomware-as-a-service, RaaS). Также экспертам удалось определить, что зловред использует скопированный код другого вымогателя для macOS.

Вымогатель получил название MacRansom, он использует веб-портал, размещенный в сети TOR. Все заинтересованные в получении сэмплов вредоноса должны связаться с автором напрямую. Возможности, предоставляемые получившим этот вымогатель злоумышленникам, включают: установку суммы выкупа, даты запуска вымогателя и опцию запуска во время подключения USB-накопителя.

Поскольку автор MacRansom, который, по-видимому, находится в часовом поясе GMT-4, не использовал сертификат безопасности, пользователи будут предупреждены о том, что программа, которую они собираются запустить, исходит от неустановленного разработчика, говорит Fortinet.

После выполнения вредоносная программа проверяет среду, в которой находится и прекращает работу, если обнаруживает платформу, отличную от macOS, или отладчик. Также вымогатель проверяет, имеет ли машина, на которой он работает, два процессора.

После этих первоначальных проверок вымогатель создает точку запуска в ~/LaunchAgent/com.apple.finder.plist, это делается для того, чтобы гарантировать выполнение при каждом запуске. Исходный исполняемый файл копируется в ~/Library/.FS_Store.

MacRansom оказался более сложной угрозой по сравнению со своими аналогами, так как использует симметричное шифрование с жестко закодированным ключом. Исследователи обнаружили два набора симметричных ключей, а именно ReadmeKey и TargetFileKey.

«После успешного шифрования целевых файлов вредонос шифрует как com.apple.finder.plist, так и исходный исполняемый файл. Затем вымогатель удаляет их» - говорят исследователи.

Жертвам предлагается выплатить 0,25 биткойна, чтобы восстановить зашифрованные файлы. Связаться с автором можно через почту getwindows(at)protonmail.com.

Роскомнадзор: корпоративный VPN в России не ограничивают

Роскомнадзор дал понять, что корпоративный VPN внутри России пока никто не отменяет. По данным ведомства на 22 апреля 2026 года, использование VPN российскими компаниями для внутренних рабочих задач не ограничивается. Более того, для доступа к зарубежным ресурсам в рамках производственной деятельности РКН уже предоставил исключения для более чем 57 тыс. адресов и подсетей, принадлежащих 1730 организациям.

Логика регулятора следующая: если компании нужен VPN для нормальной работы, особенно при взаимодействии с зарубежными ресурсами, она может подать заявление и попасть в список исключений.

Ещё 10 апреля 2025 года РКН официально рекомендовал владельцам частных VPN по возможности отказаться от иностранных протоколов шифрования, а если это технически невозможно — направить в ЦМУ ССОП данные об IP-адресах, протоколах и целях использования соединения. Для этого ведомство прямо указало специальный адрес электронной почты.

Интересно, что сама система исключений уже давно не выглядит точечно. По данным РКН, ещё 16 апреля 2025 года в так называемом белом списке было 75 тыс. записей, и с 2023 года его объём вырос в шесть раз. Это показывает, что бизнес довольно активно пользуется возможностью легально сохранить доступ к иностранным протоколам шифрования там, где без них реально сложно.

При этом курс на постепенное вытеснение иностранных VPN-протоколов никуда не делся. РКН и раньше прямо советовал переходить на российские криптографические решения, соответствующие ГОСТам. На рынке уже есть такие продукты — например, «Континент» и ViPNet, которые используют ГОСТ VPN.

Но эксперты отмечают, что с полной заменой всё не так просто: в госсекторе и на объектах КИИ такие решения выглядят вполне логично, а вот в международной торговле, ИТ-разработке и других сферах, завязанных на глобальные стандарты, возникают проблемы совместимости.

RSS: Новости на портале Anti-Malware.ru