Распространяемый через поисковую выдачу фейк iTerm2 крадет пароли с macOS

Распространяемый через поисковую выдачу фейк iTerm2 крадет пароли с macOS

Распространяемый через поисковую выдачу фейк iTerm2 крадет пароли с macOS

Обнаружен новый троян для macOS, способный воровать информацию и, возможно, открывать бэкдор. Зловред, замаскированный под iTerm2 (бесплатный аналог утилиты «Терминал»)  распространяется через спонсорские ссылки в результатах поисковой выдачи.

Новобранец, которого ИБ-эксперт Патрик Уордл (Patrick Wardle) назвал ZuRu, впервые всплыл на прошлой неделе в Китае. Вредонос раздавался с сайта-клона официального iTerm2.com, появлявшегося в топе поисковой выдачи Baidu на правах рекламы.

Анализ показал, что предложенный для скачивания образ диска содержит приложение с именем iTerm, подписанное сертификатом разработчика. Дополнительный знак безопасности, удостоверяющий принадлежность держателя к сообществу разработчиков Apple, при этом отсутствует. Тем не менее, при установке поддельный пакет с успехом проходит проверки Gatekeeper и способен ввести в заблуждение большинство коммерческих антивирусов (на настоящий момент его детектируют 15 сканеров из 57 на VirusTotal).

Обосновавшись в системе, зловред связывается со своим сервером и загружает с указанного адреса Python-скрипт, а также исполняемый файл с именем GoogleUpdate. Первый собирает и отправляет хозяину информацию о зараженной системе, а также пароли и учетки из хранилища Keychain.

Выявить назначение поддельного апдейтера пока не удалось. Установлено лишь, что при запуске он пытается подключиться к серверу, содержащему пиратскую копию Cobalt Strike — тулкита, популярного у специалистов по пентесту. Вполне возможно, что фейковый GoogleUpdate на самом деле является маячком из этого набора инструментов; его установка позволяет получить скрытый доступ к системе.

Фальшивый сертификат разработчика Apple уже отозвала. Двойник сайта iTerm2 в другой TLD-зоне заблокирован, Baidu удалил соответствующие привязки из своей выдачи. Однако злоумышленники спокойно могут откочевать в другие страны, создав другое вредоносное macOS-приложение, новый сайт и купив еще одну лицензию разработчика за $99.

Подпишитесь на новости

«В общак»: подпись к банковскому переводу может закончиться проверкой

Комментарий к переводу — не лучшее место для импровизированного стендапа. Подписи вроде «взятка», «откат» или «в общак» могут вызвать вопросы у банка и привести к ограничениям, предупредила юрист Мери Валишвили.

Как сообщает РИА Новости, доцент РЭУ имени Плеханова объяснила: автоматизированные банковские системы учитывают текст, но не обязаны понимать намерение пошутить.

При этом единого публичного списка опасных слов нет. Банки самостоятельно настраивают алгоритмы и не раскрывают полные перечни маркеров подозрительных операций. Поэтому речь не об универсальном правиле.

Внимание могут привлечь и вполне бытовые комментарии: «за маникюр», «за ЖКУ», «по договору». Сами формулировки не запрещены, однако регулярность поступлений, одинаковые суммы и другие обстоятельства могут сформировать подозрительный для комплаенс-системы паттерн.

Для обычных частных переводов Валишвили рекомендует не добавлять лишние комментарии. Если платеж имеет юридическое значение, она советует указывать конкретные реквизиты документа, например номер и дату договора займа. Для коллективных сборов можно использовать предусмотренные банком инструменты с обозначенной целью.

Главный вывод — писать фактическое назначение платежа без двусмысленных украшений. Другу шутка может понравиться, а банковскому контролю после нее потребуются объяснения.

RSS: Новости на портале Anti-Malware.ru