Мощные macOS-трояны быстро учатся обходить антивирусную защиту XProtect

Мощные macOS-трояны быстро учатся обходить антивирусную защиту XProtect

Мощные macOS-трояны быстро учатся обходить антивирусную защиту XProtect

Сразу несколько вредоносных программ для macOS продемонстрировали способность уходить от детектирования даже в том случае, если специалисты постоянно следят за новыми семплами. Речь идёт о классе троянов, известном как инфостилеры, задача которых — вытащить данные жертвы.

На способность macOS-троянов к быстрой адаптации обратили внимание исследователи из SentinelOne. В качестве примера специалисты привели три образца, способных обойти встроенную защиту ОС — XProtect.

Напомним, XProtect работает в фоновом режиме и сканирует загруженные файлы и софт. Поиск вредоносов идёт по сигнатурам, что, конечно, не гарантирует защиту от заражения новыми вариантами.

Apple постоянно обновляет базы XProtect, однако авторы троянов научились практически сразу менять свои детища для ухода от обнаружения.

В отчёте SentinelOne эксперты указывают в качестве примера на вредоносную программу KeySteal, о которой стало известно в 2021 году. С тех пор авторы заметно доработали троян.

На данный момент KeySteal распространяется как встроенный в Xcode бинарник Mach-O под именами «UnixProject» и «ChatGPT». Попав в систему, вредонос устанавливает соединение с операторами и пытается украсть данные Keychain.

 

В последний раз Apple обновляла сигнатуры для поиска KeySteal в феврале 2023 года. С той поры авторы внесли достаточно изменений, чтобы троян спокойно обходил XProtect и другие антивирусные движки.

Ещё один яркий пример — написанный на Go Atomic Stealer, впервые попавшийся исследователям в мае 2023-го. Купертиновцы обновили сигнатуры Atomic Stealer в этом месяце, однако в SentinelOne засекли новый вариант на C++, который уже не детектируется.

Актуальная версия Atomic Stealer заменила обфускацию кода на AppleScript в виде простого текста. Зловред также научился завершать процесс приложения «Терминал»:

 

Третья вредоносная программа, демонстрирующая способность к адаптации, — CherryPie (также известна под именами Gary Stealer или JaskaGo). Впервые её поймали 9 сентября 2023-го.

В этом случае сигнатуры Apple (обновлены в декабре 2023-го) работают, однако вредонос обходит другие антивирусные движки на VirusTotal.

Собянин: камеры в Москве не вторгаются в личную жизнь

Мэр Москвы Сергей Собянин не считает, что развитие городских систем видеонаблюдения и цифровизации приводит к вторжению в личную жизнь граждан. По словам градоначальника, сотрудник полиции на перекрёстке тоже видит прохожих, автомобили и происходящие вокруг события. Однако это не означает вмешательства в частную жизнь.

В интервью РБК он заявил, что работа камер по своей сути мало отличается от присутствия полицейского на улице.

«Он вас видит. Ну, он же не вторгается в вашу личную жизнь. Ну, если вы начнете хулиганить, что-то такое вытворять, то... Тогда он подойдет и спросит, что вы делаете, и пресечет эти действия», — пояснил Собянин.

По мнению мэра, аналогичным образом работают и городские системы видеонаблюдения.

«Она есть и есть. Она фоновая. Она никакого отношения к вашей личной жизни не имеет. Поэтому никакого вторжения в личную жизнь там не происходит», — заявил он.

Тема городского видеонаблюдения и цифрового контроля остаётся одной из самых обсуждаемых в последние годы. Москва считается одним из мировых лидеров по количеству камер наблюдения и уровню цифровизации городских сервисов. Камеры используются для обеспечения общественной безопасности, контроля дорожного движения, поиска нарушителей и решения других задач.

При этом критики подобных систем регулярно поднимают вопросы о конфиденциальности данных и границах допустимого наблюдения со стороны государства.

Собянин же дал понять, что рассматривает камеры прежде всего как инструмент обеспечения порядка, а не как средство слежки за законопослушными гражданами.

RSS: Новости на портале Anti-Malware.ru