Стручњаци за безбедност упозоравају на нови опасни злонамерни програм Мац ОС познат као SHub Reaper. Напад је изузетно софистициран. У том процесу, он искоришћава кредибилитет Microsoftu, Appлу и Гугл, може украсти лозинке, податке прегледача, садржај привеска за кључеве, документе или криптовалуте, а затим добити трајан приступ компромитованом Меку.
Дани када су власници Mac рачунара могли практично да игноришу злонамерни софтвер су давно прошли. Са растућом популарношћу рачунара Apple све више постају мете нападача, а њихове методе су такође знатно софистицираније него раније. Добар пример је нови злонамерни софтвер познат као SHub Reaper, чије је функционисање детаљно анализирано од стране стручњака за безбедност.
Најопаснији део напада је начин на који покушава да стекне поверење корисника. Злонамерни софтвер постепено искоришћава брендове три највеће светске технолошке компаније. Напад почиње лажном веб страницом која подсећа Microsoft, наставља са лажним безбедносним ажурирањем Appлу и након успешног заразивања Mac рачунара, злонамерни софтвер се крије у систему под именом које подсећа на Google-ову услугу ажурирања.
Само преузмите лажну апликацију и кликните на дугме Покрени
Напад може почети посетом лажном веб-сајту који на први поглед покушава да изгледа као легитиман веб-сајт. MicrosoftКорисник је затим преварен да преузме лажни инсталатер за уобичајену апликацију. Овде се нападачи ослањају на понашање корисника Mac-а. Неки програми се обично инсталирају ван Mac App Store, и стога само преузимање инсталационе датотеке са интернета не мора аутоматски изазвати сумњу.
Након отварања датотеке, Script Editor ће почети са припремљеним AppleСкрипта. Стварна злонамерна команда се налази ван видљивог дела прозора, тако да корисник можда на први поглед неће ни знати шта ће заправо извршити.
Могли бисте бити заинтересовани
Када се кликне на дугме Покрени, појављује се лажно обавештење које обавештава о преузимању безбедносне надоградње XProtectRemediator. Ово је изузетно паметан трик, јер XProTECT је права безбедносна технологија која се користи Applemv macOS. Корисник затим уноси своју системску лозинку, мислећи да само дозвољава инсталацију легитимног безбедносног ажурирања. У стварности, предаје га нападачима.
Затим се скрива у систему као Google софтвер.
Након успешног заражавања рачунара, у игру улази трећа позната технолошка компанија. Злонамерни софтвер покушава да се сакрије у систему под именима која подсећају на праву услугу ажурирања компаније Google.
Злонамерни софтвер може да креира сопствену фасциклу GoogleUpdate.app и агент за покретање под називом com.google.keystone.agent.plist. Сличне ознаке користе легитимни сервиси повезани са ажурирањима Google апликација, тако да ако би обичан корисник погледао у системске фасцикле свог Mac рачунара, можда не би ни схватио да има пред собом злонамерни софтвер.
Злонамерни софтвер напада лозинке, документе и криптовалуте
Обим информација које SHub Reaper може да извуче са компромитованог Mac рачунара је изузетно широк. Злонамерни софтвер циља системску лозинку корисника, садржај macOS Keychain-а, укључујући сачуване лозинке и сертификате, и податке из популарних веб прегледача.
Циљеви укључују, на пример: Chrome, Фирефок, Браве, Edge, Opera, Vivaldi, Arc или Orion. Нападачи су такође заинтересовани за екстензије прегледача и неке податке сачуване на iCloudЗлонамерни софтвер посебну пажњу посвећује криптовалутама. Покушава да добије информације из апликација Exodus и Atomic. Wallet, Лedger Live, Electrum или Trezor Suite, укључујући осетљиве податке потребне за приступ криптовалутним новчаницима.
Документи сачувани на радној површини или у фасцикли Документи такође могу бити угрожени. На пример, злонамерни софтвер тражи датотеке Wordуа Excelu, JSON датотеке, приступни кључеви и други потенцијално осетљиви подаци.
Напад крађе података се не завршава
Још опаснија је чињеница да SHub Reaper можда неће нестати са рачунара након крађе података. Злонамерни софтвер може да креира механизам у систему који се периодично повезује са удаљеним сервером нападача и проверава нове команде. Ако прими команду, може је директно извршити на угроженом Mac рачунару.
Ово омогућава нападачима да добију дугорочни даљински приступ рачунару, преузму додатни злонамерни софтвер, наставе да краду податке или обављају друге операције. Једнократна грешка корисника може значити не само тренутни губитак лозинке. Угрожени Mac може остати под контролом нападача у будућности.
Proч регуларна заштита за Mac можда није довољна
Apple интегрише неколико безбедносних технологија директно у macOS, укључујући System XProтект, који може да детектује и уклони познати злонамерни софтвер. Међутим, SHub Reaper покушава да искористи легитимне системске процесе као што су Script Editor, osascript или shell. Поред тога, део злонамерног кода може се извршити без традиционалног чувања злонамерне датотеке на диск.
Ово може да искомпликује рад безбедносних система који се првенствено заснивају на инспекцији датотека. Apple У новијим верзијама macOS-а, постепено појачава заштиту од сличних напада и, на пример, ограничава уметање сумњивих команди у TerminalМеђутим, нападачи стално мењају своје методе и у овом случају су прешли на коришћење уређивача скрипти.
Како препознати угрожени Mac
Корисници који су недавно преузели апликацију са сумњиве веб странице, покренули непознату скрипту у Script Editor-у или видели необично обавештење које захтева системску лозинку због наводног ажурирања X-а треба да буду посебно опрезни.Proтектум.
Могући трагови инфекције укључују датотеку ~/Library/LaunchAgents/com.google.keystone.agent.plist или сумњиву апликацију GoogleUpdate.app у фолдеру ~/Библиотека/AppПодршка за апликације/Google/.
Могу се појавити и привремене датотеке са називима као што су .c.sh, shub_split.sh или shub_log.zip. Међутим, само присуство датотеке или фасцикле са називом који подсећа на Google софтвер не значи нужно да сте заражени. Стога је важно проверити да ли су системске датотеке заиста повезане са злонамерним софтвером пре него што их обришете.
Шта урадити ако сумњате на напад
Ако имате разлога да сумњате да је ваш Mac компромитован, требало би да престанете да га користите за пријављивање на осетљиве сервисе. Промените лозинку за е-пошту са другог, поузданог уређаја. Apple налог, онлајн банкарство и друге важне услуге. Такође је добра идеја да завршите активне сесије на другим уређајима и промените податке за приступ који су можда сачувани у Keychain-у или интернет прегледачима.
Ако користите криптовалутни новчанике на свом Mac рачунару и постоји могућност да су њихови подаци за приступ или seed фразе угрожени, неопходно је одмах решити ситуацију и обезбедити своја средства користећи чист уређај.
Затим је препоручљиво извршити темељно безбедносно скенирање вашег Mac рачунара како бисте уклонили све трагове злонамерног софтвера. У случају озбиљног напада, потпуна поновна инсталација система може бити најбезбедније решење.
Могли бисте бити заинтересовани
Највећа слабост Мека остаје сам корисник.
SHub Reaper показује како се мења начин на који се нападају рачунари AppleНападачи не покушавају само да пронађу техничку грешку у macOS-у. Чешће, они убеђују самог корисника да добровољно одобри потребне дозволе.
У овом случају, све што је потребно је комбинација лажног веб-сајта, ажурирања које делује поуздано, покретања скрипте и уноса системске лозинке. Стога, најважнија заштита остаје једноставно правило. Ако вас непознати веб-сајт или преузета апликација замоли да покренете команду у Terminalили Script Editor, а затим унесете лозинку за Mac, требало би да одмах обратите пажњу на то. Легитимна ажурирања macOS-а и безбедносне технологије Appлу не захтевају сличан поступак.
