VirusTotal avastas MacOS Proton RATi eelkäija Calisto

Turvalisus ülemaailmne 24h

2 vahel^ndja 6^thmai, a Käsipidur tarkvara allalaadimise peeglilink (download.handbrake.fr) oli rikutud ja arendajad postitasid a hoiatus teade 6^thmaini, et aidata kasutajatel teha kindlaks, kas nende MacOS-süsteemid on nakatunud kurikuulsast Protoni kaugjuurdepääsu Troojast (RAT). Teatati, et umbes 50% kõigist selle aja jooksul tehtud allalaadimistest põhjustasid nakatunud seadmesüsteeme. Nüüd teadlased aadressil Kaspersky on õnnestunud sattuda Proton RAT pahavara eelkäija Calisto otsa, mis on nende arvates välja töötatud aasta enne Protonit, kuna sellel ei olnud võimalust mööduda süsteemi terviklikkuse kaitsest (SIP), mis nõuab põhifailide redigeerimiseks administraatori mandaate, funktsioon, mida sel ajal täiustati. Kaspersky teadlased jõudsid järeldusele, et Calisto loobuti Protoni kasuks, kuna Calisto kood tundus olevat lihvimata. Calisto avastati VirusTotal ja tundub, et viirus püsis seal seni avastamata kaks kuni kolm aastat.

Proton RAT on ohtlik ja võimas pahavara, mis ilmus esmakordselt 2016. aasta lõpus ja kasutab süsteemi manipuleerimiseks ning MacOS-seadmetele juurjuurdepääsu saamiseks ehtsaid Apple'i koodi allkirjastamise sertifikaate. Pahavara suudab mööda hiilida kõikidest turvameetmetest, sealhulgas iCloudi kahefaktorilisest autentimisest ja süsteemi terviklikkuse kaitsest, nii et see võib kaugtegevusega jälgida arvuti tegevust, logides klahvivajutusi, käivitades teabe kogumiseks valesid hüpikuid, tehes ekraanipilte, vaadates kõiki eemalt ekraanil kuvatav tegevus, huvipakkuvate andmefailide väljavõtmine ja kasutaja jälgimine tema veebikaamera kaudu. Tundub, et pärast tuvastatud pahavara eemaldamist on lihtne viis, kuid kui tuvastatakse, et see on süsteemis aktiivne (kui protsess „Activity_agent” kuvatakse seadme Activity Monitori rakenduses), võivad kasutajad olla kindlad, et see on salvestanud kõik oma paroolid ja pääsenud juurde kõigile brauseritesse või Maci enda võtmehoidlasse salvestatud andmetele. Seetõttu palutakse kasutajatel need puhtas seadmes koheselt muuta, et vältida nende finants- ja veebiandmete ohtu seadmist.

Proton RATi juures on kõige huvitavam see, et vastavalt New Jersey küberturvalisuse ja kommunikatsiooni integreerimise raku (NJCCIC) , reklaamis pahavara looja seda kui korporatsioonide ja isegi vanemate seiretarkvara, et jälgida oma laste digitaalset tegevust kodus. See tarkvara kandis hinnasilti vahemikus 1 200 kuni 820 000 USD, mis põhineb kasutaja litsentsimisel ja funktsioonidel. Need „jälgimise” funktsioonid olid aga ebaseaduslikud ja kuna häkkerid said koodi kätte, saadeti programm paljude YouTube'i videote, ohustatud veebiportaalide, tarkvara HandBrake (mille puhul HandBrake-1.0) allalaadimise kaudu. 7.dmg asendati failiga OSX.PROTON) ja läbi pimeda veebi. Kuigi kasutajatel pole Calistoga seoses midagi karta, kui nende SIP on lubatud ja töötab, peavad teadlased koodi võimet süsteemis manipuleerida autentsete Apple'i mandaatidega murettekitavaks ja kardavad, mida tulevane pahavara võib sama mehhanismi abil teha. Selles etapis on Proton RAT pärast tuvastamist eemaldatav. Töötades sama fundamentaalse sertifikaadiga manipuleerimise vastu, võib pahavara peagi end süsteemidena alalise agendina siduda.