macOS-вредонос распространяется через поддельный блог Symantec

macOS-вредонос распространяется через поддельный блог Symantec

macOS-вредонос распространяется через поддельный блог Symantec

Недавно обнаруженный macOS-вредонос Proton распространяется через сайт, маскирующийся под легитимный блог Symantec. Злоумышленники создали symantecblog.com, хорошую имитацию реального блога Symantec и даже скопировали контент с оригинала.

В этом блоге есть запись, посвященная новой версии вредоносной программы CoinThief, в этой записи рекламируется приложение под названием «Symantec Malware Detector», которое и является вредоносом OSX.Proton.

Информация о регистрации этого домена кажется достоверной, однако подозрение может вызвать электронная почта. Кроме того, сертификат, используемый для сайта, является легитимным сертификатом SSL, выпущенным Comodo, но не собственным центром сертификации Symantec.

Как сообщает Malwarebytes, ссылки на поддельный блог распространяются через Twitter, что наталкивает на мысль о том, что киберпреступники, возможно, скомпрометировали учетные записи пользователей.

После первого запуска Symantec Malware Detector отображает простое окно с логотипом Symantec, требующее авторизации для проверки системы. Исследователи говорят, что если потенциальная жертва закроет это окно на данном этапе, вредоносная программа не будет установлена.

Если же пользователь согласится запустить проверку, будет запрошен пароль администратора, что позволит злоумышленникам получить его. Затем приложение отобразит индикатор процесса сканирования компьютера, а Proton будет установлен в фоновом режиме.

Вредоносная программа немедленно начинает собирать информацию пользователя, сохраняя все в скрытый файл. Также сохраняются файлы ключей, данные автозаполнения браузера, хранилища 1Password и пароли GPG.

Исполняемый файл Proton устанавливается в каталог .random и выполняется с помощью com.apple.xpcd.plist. Украденные данные хранятся в папке .cachedir.

«К счастью, Apple в курсе существования этой вредоносной программы, компания отменила сертификат, используемый для ее подписи. Это позволит избежать дальнейших заражений, однако не спасет уже зараженные машины», — объясняют исследователи.

Ранее мы сообщали о том, что Proton распространяется вместе с легитимным плеером Elmedia Player.

Подпишитесь на новости

Клиентов уходящих провайдеров предложили переводить к крупным операторам

Провайдер закрылся, а интернет должен остаться. Минцифры готовит механизм передачи абонентов другим операторам, если обслуживающая компания прекратит работу или лишится лицензии. Идея — избавить людей от внезапного отключения связи вместе с исчезновением поставщика.

О предложении сообщают  «Известия» со ссылкой на справочные материалы к проекту поправок в закон «О связи». Договоры клиентов планируют передавать крупным операторам, чтобы сохранить обслуживание.

Механизм обсуждается на фоне реформы лицензирования отрасли. Новые требования могут оказаться неподъёмными для части небольших провайдеров. По предлагаемой схеме другой оператор сможет временно принять управление инфраструктурой уходящей компании и обслуживание её клиентов.

Таким образом, предполагается передавать не просто список людей, которым теперь некому позвонить в поддержку, но и сеть, через которую они получают интернет.

Тем не мене сохранение доступа не стоит автоматически понимать как обещание навсегда оставить прежний тариф.

Для абонента главное, чтобы смена компании на квитанции не сопровождалась неделями без связи. Именно это предложенному механизму и предстоит обеспечить на практике.

RSS: Новости на портале Anti-Malware.ru