Шпионская программа для Mac, MacSpy, предлагается бесплатно на форумах

Шпионская программа для Mac, MacSpy, предлагается бесплатно на форумах

Эксперты сообщают о том, что спустя всего несколько дней после того, как был обнаружен MacRansom, они наткнулись на первый вредонос-как-сервис (malware-as-a-service, MaaS) для пользователей Mac на открытом форуме, он доступен бесплатно.

Получивший имя MacSpy, вредонос, по заявлениям авторов, представляет собой «самую сложную шпионскую программу для Mac». Разработчики рекламируют MacSpy как бесплатную программу с расширенным функционалом.

Бесплатный вариант зловреда включает поддержку анонимной связи по сети TOR, позволяет делать снимки экрана, логировать нажатия клавиш, записывать голос, извлекать содержимое буфера обмена и данные браузера и перехватывать фотографии iCloud во время процесса синхронизации. Более того, эксперты AlienVault утверждают, что он рекламируется как вредоносная программа, осуществляющая рекордно низкую загрузку памяти и процессора.

Платный вариант предположительно также позволяет злоумышленникам настраивать интервалы записи, может извлекать любые файлы и данные с Mac, шифровать весь каталог пользователя за считанные секунды и маскировать вредоноса под легитимный формат файла.

Кроме того, он поддерживает ежедневную архивацию собранных файлов, доступ к электронным сообщениям и учетным записям в социальной сети, а также подпись кода.

Для того, чтобы заполучить этого MacSpy, придется отправить электронное письмо автору с желаемым именем пользователя и паролем. После создания учетной записи автор отправляет zip-файл новому пользователю вместе с инструкцией.

Судя по всему, злоумышленники могут заражать компьютеры, помещая распакованную папку MacSpy на USB-накопитель и вручную запуская 64-битный исполняемый файл, который называется «updated». Исполняемый файл не подписан, детекта антивирусов, если верить VirusTotal, на него нет.

В дополнение к файлу «updated» архив содержит 64-битный исполняемый файл «webkitproxy», 64-разрядную динамическую библиотеку libevent-2.0.5.dylib и файл конфигурации. Учитывая, что webkitproxy и libevent-2.0.5.dylib подписаны TOR, исследователи пришли к выводу, что они связаны с функцией маршрутизации Tor Onion.

Вредоносная программа также имеет функции анти-анализа, такие как проверку отладчика и виртуализации (количество ядер процессора, объем памяти). Он также проверяет, работает ли он именно на Mac. Для того, чтобы выполняться при каждом запуске, MacSpy создает запись в ~/Library/LaunchAgents/com.apple.webkit.plist.

После запуска вредонос копирует себя в ~/Library/.DS_Stores/ и удаляет исходную папку. Затем он использует команду curl для связи с командным сервером (C&C) и отправляет собранные данные с помощью POST-запросов через прокси-сервер TOR. Также он удаляет временные файлы, которые использует для сбора данных.

обнаружен MacRansom, они наткнулись на первый вредонос-как-сервис (malware-as-a-service, MaaS) для пользователей Mac на открытом форуме, он доступен бесплатно.

" />

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Нейробраузер Яндекса ежедневно пресекает 1,5 млн визитов к фишерам

С начала тестирования обновленный Яндекс Браузер выявил более 400 тыс. мошеннических сайтов. Встроенная нейросеть позволяет ежедневно фиксировать 1,5 млн попыток перехода на фишинговые ресурсы, в 90% случаев юзер при этом использует телефон.

Проверка сайтов теперь осуществляется в реальном времени. При подозрении на фишинг Браузер запускает глубокий анализ с привлечением серверов «Яндекса». Ресурс проверяется по сотням параметров: когда создан, на кого зарегистрирован, как часто посещается и каким способом (по ссылкам или напрямую), появляется ли в поисковой выдаче и т. п.

Данные пользователей и текстовое содержимое страниц при этом на серверы не передаются. Комплексная проверка длится менее 0,01 секунды; если сайт опасен, пользователю выводится предупреждение.

Ранее такая защита работала иначе. Фишинговые сайты отыскивал в Сети поисковый робот «Яндекса», заходя на сомнительные страницы по несколько раз в сутки. Оценка производилась с помощью ML-моделей на сервере; опасные ресурсы заносились в базу, и Браузер с ней сверялся каждый раз, когда пользователь заходил на новый ресурс.

Весь процесс занимал много времени, от нескольких часов до суток. Столько в среднем и живут фишинговые сайты, и солидное количество по этой причине не попадало в базу «Яндекса».

Теперь клиентская нейросеть помогает выявлять не только ловушки-однодневки, но также новые приманки фишеров — такие как фейки приложений подсанкционных банков и платформ для работы с криптобиржами.

Каждый месяц через Яндекс Браузер в Сеть выходят свыше 85 млн человек. Запуск версии со встроенными нейросетями состоялся в прошлом месяце. Новые функции доступны на десктопах Windows, macOS, Linux, а также на мобильных устройствах.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru