macOS-зловред UpdateAgent получил новый дроппер, написанный на Swift

macOS-зловред UpdateAgent получил новый дроппер, написанный на Swift

macOS-зловред UpdateAgent получил новый дроппер, написанный на Swift

Исследователи macOS-угроз из американской компании Jamf проанализировали свежий образец UpdateAgent и обнаружили ряд изменений. Как оказалось, заточенный под macOS зловред теперь закачивает дополнительную полезную нагрузку, используя дроппер, написанный на Swift.

Троян UpdateAgent, он же WizardUpdate и Vigram, известен ИБ-сообществу с конца 2020 года. Вначале он был пригоден лишь для кражи системной информации, но проект постоянно совершенствуется, и в итоге вредонос, умеющий обходить Gatekeeper, стал использоваться для доставки из облака других файлов в рамках атаки — в основном программ для принудительного показа рекламы (adware).

Новый дроппер UpdateAgent, по свидетельству Jamf, маскируется под легитимный бинарник Mach-O с именем PDFCreator либо ActiveDirectory. При исполнении он подключается к удаленному серверу (URL в этих вариантах разные) для получения команд, отдаваемых в виде bash-скрипта.

Исполнение заархивированного сценария (activedirec.sh или bash_qolveevgclr.sh) бесфайловым методом является главной задачей Swift-дроппера. Вставленная в скрипт ссылка привязана к хранилищу Amazon S3 с DMG-файлом — приложением, копию которого дроппер помещает в папку временных файлов.

Примечательно, что вредонос также модифицирует файл /etc/sudoers таким образом, чтобы повысить уровень исполнения вторичной полезной нагрузки до root, притом без пароля на запуск. Этот трюк возможен лишь в том случае, когда UpdateAgent работает с привилегиями суперпользователя.

Помимо этого зловред создает LaunchAgent уровня пользователя для автозапуска вредоносного сценария. Последний после активации выжидает немного (для скрытности), а затем приступает к удалению свидетельств непрошеного вторжения — демонтирует DMG-файл и откатывает изменение файла настройки команды sudo (/etc/sudoers).

Исследователям из Jamf попалась еще одна полезная нагрузка второй ступени — исполняемый код, именуемый ActiveDirectory. Он идентичен экзешнику PDFCreator, но использует другой URL для загрузки bash-скрипта, который пока только регистрируется в облаке и ждет дальнейших инструкций.

Microsoft исправила баг, блокировавший Chrome в Windows

Microsoft закрыла проблему, из-за которой служба родительского контроля Family Safety блокировал запуск Google Chrome и некоторых других браузеров в Windows. Сбой впервые признали ещё в конце июня 2025 года, когда пользователи начали массово жаловаться, что Chrome либо не запускается вовсе, либо внезапно закрывается на устройствах с Windows 10 22H2 и Windows 11 22H2 и новее.

Как выяснилось, корень проблемы находился в механизме веб-фильтрации Family Safety. По задумке он должен запрашивать у родителей разрешение, если ребёнок пытается использовать альтернативный браузер.

Но из-за ошибки система начинала блокировать даже уже одобренные браузеры после их обновления. Новая версия приложения просто не запускалась или аварийно завершалась.

Microsoft объясняла это тем, что обновлённые версии браузеров нужно отдельно добавлять в список блокировки. Пока они туда не попадали, возникал конфликт, который приводил к сбоям.

На этой неделе корпорация подтвердила, что проблему устранили с помощью серверного исправления. Распространение фикса началось в начале февраля 2026 года, практически через восемь месяцев после первых сообщений о сбое. Обновление доставляется автоматически.

Пользователям, столкнувшимся с проблемой, достаточно подключить устройство к интернету, никаких дополнительных действий не требуется. В Microsoft уточняют, что исправление постепенно дойдёт до всех затронутых устройств в течение ближайших недель.

Тем, кто по каким-то причинам не может подключиться к сети, Советуют включить функцию «Отчёты об активности» в настройках Microsoft Family Safety. Это позволит родителям получать запросы на одобрение и вручную добавлять новые версии браузеров в список разрешённых.

RSS: Новости на портале Anti-Malware.ru