macOS-вредонос распространяется через поддельный блог Symantec

macOS-вредонос распространяется через поддельный блог Symantec

macOS-вредонос распространяется через поддельный блог Symantec

Недавно обнаруженный macOS-вредонос Proton распространяется через сайт, маскирующийся под легитимный блог Symantec. Злоумышленники создали symantecblog.com, хорошую имитацию реального блога Symantec и даже скопировали контент с оригинала.

В этом блоге есть запись, посвященная новой версии вредоносной программы CoinThief, в этой записи рекламируется приложение под названием «Symantec Malware Detector», которое и является вредоносом OSX.Proton.

Информация о регистрации этого домена кажется достоверной, однако подозрение может вызвать электронная почта. Кроме того, сертификат, используемый для сайта, является легитимным сертификатом SSL, выпущенным Comodo, но не собственным центром сертификации Symantec.

Как сообщает Malwarebytes, ссылки на поддельный блог распространяются через Twitter, что наталкивает на мысль о том, что киберпреступники, возможно, скомпрометировали учетные записи пользователей.

После первого запуска Symantec Malware Detector отображает простое окно с логотипом Symantec, требующее авторизации для проверки системы. Исследователи говорят, что если потенциальная жертва закроет это окно на данном этапе, вредоносная программа не будет установлена.

Если же пользователь согласится запустить проверку, будет запрошен пароль администратора, что позволит злоумышленникам получить его. Затем приложение отобразит индикатор процесса сканирования компьютера, а Proton будет установлен в фоновом режиме.

Вредоносная программа немедленно начинает собирать информацию пользователя, сохраняя все в скрытый файл. Также сохраняются файлы ключей, данные автозаполнения браузера, хранилища 1Password и пароли GPG.

Исполняемый файл Proton устанавливается в каталог .random и выполняется с помощью com.apple.xpcd.plist. Украденные данные хранятся в папке .cachedir.

«К счастью, Apple в курсе существования этой вредоносной программы, компания отменила сертификат, используемый для ее подписи. Это позволит избежать дальнейших заражений, однако не спасет уже зараженные машины», — объясняют исследователи.

Ранее мы сообщали о том, что Proton распространяется вместе с легитимным плеером Elmedia Player.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

ГК Солар фиксирует волну атак на сайты малого и среднего бизнеса

В преддверии летнего сезона специалисты сервиса Solar Space (ГК «Солар») фиксируют резкий рост кибератак на сайты санаториев, гостиниц, пансионатов, небольших туроператоров, а также фитнес-клубов и сервисов аренды свадебного декора.

Как отмечают в ГК «Солар», это отражает общую тенденцию увеличения количества атак на веб-ресурсы малого и среднего бизнеса. За ними могут стоять как политически мотивированные хактивисты, так и недобросовестные конкуренты.

С технической точки зрения атаки делятся на два основных типа. Первый — классические DDoS-атаки, цель которых — сделать сайт недоступным для пользователей. Второй — атаки с использованием ботов, создающих фиктивные бронирования и мешающих настоящим клиентам воспользоваться услугами.

Эксперты рекомендуют бизнесу как минимум обеспечить базовую защиту от DDoS и автоматизированной вредоносной активности. Также необходимо организовать постоянный мониторинг, чтобы своевременно оценивать нагрузку на сайт и оперативно реагировать на инциденты.

«Подобные атаки направлены как на нанесение ущерба пользователям, которые могут остаться без нужных услуг, так и на подрыв деятельности самих компаний, теряющих потенциальную прибыль. При этом злоумышленниками могут быть как идеологически мотивированные группы, так и хакеры, действующие по заказу конкурентов», — комментирует Артём Избаенков, директор платформы облачной киберзащиты Solar Space ГК «Солар».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru