Мощные macOS-трояны быстро учатся обходить антивирусную защиту XProtect

Мощные macOS-трояны быстро учатся обходить антивирусную защиту XProtect

Мощные macOS-трояны быстро учатся обходить антивирусную защиту XProtect

Сразу несколько вредоносных программ для macOS продемонстрировали способность уходить от детектирования даже в том случае, если специалисты постоянно следят за новыми семплами. Речь идёт о классе троянов, известном как инфостилеры, задача которых — вытащить данные жертвы.

На способность macOS-троянов к быстрой адаптации обратили внимание исследователи из SentinelOne. В качестве примера специалисты привели три образца, способных обойти встроенную защиту ОС — XProtect.

Напомним, XProtect работает в фоновом режиме и сканирует загруженные файлы и софт. Поиск вредоносов идёт по сигнатурам, что, конечно, не гарантирует защиту от заражения новыми вариантами.

Apple постоянно обновляет базы XProtect, однако авторы троянов научились практически сразу менять свои детища для ухода от обнаружения.

В отчёте SentinelOne эксперты указывают в качестве примера на вредоносную программу KeySteal, о которой стало известно в 2021 году. С тех пор авторы заметно доработали троян.

На данный момент KeySteal распространяется как встроенный в Xcode бинарник Mach-O под именами «UnixProject» и «ChatGPT». Попав в систему, вредонос устанавливает соединение с операторами и пытается украсть данные Keychain.

 

В последний раз Apple обновляла сигнатуры для поиска KeySteal в феврале 2023 года. С той поры авторы внесли достаточно изменений, чтобы троян спокойно обходил XProtect и другие антивирусные движки.

Ещё один яркий пример — написанный на Go Atomic Stealer, впервые попавшийся исследователям в мае 2023-го. Купертиновцы обновили сигнатуры Atomic Stealer в этом месяце, однако в SentinelOne засекли новый вариант на C++, который уже не детектируется.

Актуальная версия Atomic Stealer заменила обфускацию кода на AppleScript в виде простого текста. Зловред также научился завершать процесс приложения «Терминал»:

 

Третья вредоносная программа, демонстрирующая способность к адаптации, — CherryPie (также известна под именами Gary Stealer или JaskaGo). Впервые её поймали 9 сентября 2023-го.

В этом случае сигнатуры Apple (обновлены в декабре 2023-го) работают, однако вредонос обходит другие антивирусные движки на VirusTotal.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

BI.ZONE Consulting ускоряет анализ киберрисков в три раза

Компания BI.ZONE Consulting обновила услугу по комплексному управлению киберрисками. По оценке специалистов, сейчас около 60% организаций не способны точно оценить масштаб возможного ущерба от киберинцидентов. Это приводит к неожиданным расходам, штрафам и репутационным потерям.

Обновлённый подход сочетает международные стандарты (ISO/IEC 27001, ISO/IEC 27005, ISO 31000 и др.) и требования российских регуляторов (ПП-127, 716-П и т. п.).

Теперь сервис позволяет:

  • учитывать влияние киберугроз на операционную деятельность;
  • ускорять выявление и анализ рисков минимум в три раза;
  • классифицировать сценарии нарушений по критичности последствий;
  • переводить потенциальный ущерб в конкретные категории — от штрафов до простоя производства.

Кроме того, в обновлении добавлены:

  • Автоматизированная оценка рисков — формирование сценариев угроз на основе ISO 27005.
  • Стратегический подход — трёхлетние циклы управления с KPI и ежегодной корректировкой стратегии под актуальные угрозы.
  • Финансовая привязка — определение риск-аппетита компании и сопоставление его с мерами защиты и бюджетом.
  • Соответствие регуляторам — автоматизация процессов, связанных с исполнением 716-П, ПП-127 и других требований.

По словам руководителя направления Тимофея Полякова, компании часто распределяют бюджеты на ИБ неэффективно: до 80% уходит на реагирование, а не на профилактику. В итоге бизнес сталкивается с неожиданными штрафами и потерями. Новый подход, отмечает он, помогает руководителям принимать решения на основе данных и лучше увязывать безопасность с финансовыми результатами.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru