macOS-вредонос распространяется через поддельный блог Symantec

macOS-вредонос распространяется через поддельный блог Symantec

macOS-вредонос распространяется через поддельный блог Symantec

Недавно обнаруженный macOS-вредонос Proton распространяется через сайт, маскирующийся под легитимный блог Symantec. Злоумышленники создали symantecblog.com, хорошую имитацию реального блога Symantec и даже скопировали контент с оригинала.

В этом блоге есть запись, посвященная новой версии вредоносной программы CoinThief, в этой записи рекламируется приложение под названием «Symantec Malware Detector», которое и является вредоносом OSX.Proton.

Информация о регистрации этого домена кажется достоверной, однако подозрение может вызвать электронная почта. Кроме того, сертификат, используемый для сайта, является легитимным сертификатом SSL, выпущенным Comodo, но не собственным центром сертификации Symantec.

Как сообщает Malwarebytes, ссылки на поддельный блог распространяются через Twitter, что наталкивает на мысль о том, что киберпреступники, возможно, скомпрометировали учетные записи пользователей.

После первого запуска Symantec Malware Detector отображает простое окно с логотипом Symantec, требующее авторизации для проверки системы. Исследователи говорят, что если потенциальная жертва закроет это окно на данном этапе, вредоносная программа не будет установлена.

Если же пользователь согласится запустить проверку, будет запрошен пароль администратора, что позволит злоумышленникам получить его. Затем приложение отобразит индикатор процесса сканирования компьютера, а Proton будет установлен в фоновом режиме.

Вредоносная программа немедленно начинает собирать информацию пользователя, сохраняя все в скрытый файл. Также сохраняются файлы ключей, данные автозаполнения браузера, хранилища 1Password и пароли GPG.

Исполняемый файл Proton устанавливается в каталог .random и выполняется с помощью com.apple.xpcd.plist. Украденные данные хранятся в папке .cachedir.

«К счастью, Apple в курсе существования этой вредоносной программы, компания отменила сертификат, используемый для ее подписи. Это позволит избежать дальнейших заражений, однако не спасет уже зараженные машины», — объясняют исследователи.

Ранее мы сообщали о том, что Proton распространяется вместе с легитимным плеером Elmedia Player.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

VK Workspace заблокировала 421 млн спам- и фишинговых писем за III квартал

В третьем квартале 2025 года корпоративная платформа VK Workspace предотвратила рассылку 421 миллиона спам- и фишинговых писем, направленных на компании. Благодаря этому удалось избежать кражи данных и заражения устройств вредоносными программами.

Как уточнили в компании, основную часть заблокированных сообщений составляли массовые рекламные рассылки, однако среди них было и множество фишинговых писем, имитирующих переписку с реальными организациями — в частности, логистическими компаниями, а также популярными брендами и госуслугами.

«Решения VK Workspace и Почты Mail остановили более 7,6 миллиарда спам-сообщений в третьем квартале 2025 года, направленных как на бизнес, так и на пользователей. Поэтому использование почты с продвинутой защитой от спама и фишинга становится особенно важным», — рассказал директор по информационной безопасности VK Tech Анатолий Тутынин.

По его словам, защита от фишинга и вредоносных писем в VK Workspace основана на машинном обучении и репутационных системах, которые анализируют домены отправителей. Кроме того, используется оптическое распознавание символов (OCR) — оно помогает выявлять спам, замаскированный под изображения.

В компании отмечают, что благодаря такому подходу система точнее определяет потенциальные угрозы и снижает риск того, что вредоносные письма дойдут до сотрудников.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru