🍏 Новая модификация зловреда MacSync для macOS
Наши эксперты проанализировали новую версию вредоносного ПО MacSync, которое в первую очередь нацелено на криптоэнтузиастов и разработчиков. Зловред, в числе прочего, похищает данные браузеров и приложений криптокошельков, файлы конфигурации SSH, AWS, Kubernetes и GIT, а также системную информацию с устройств под управлением ОС macOS.
По сравнению с предыдущими модификациями зловред претерпел значительные изменения.
🔴 Основная вредоносная нагрузка представлена полноценными исполняемыми файлами: модуль для кражи данных написан на языке Swift, а модуль для удалённого доступа — на языке Objective-C. В прежних версиях нагрузка реализовывалась через скрипты AppleScript.
🔴 Одна из цепочек заражения примечательна длиной и сложностью: скриптовые дропперы и загрузчики здесь заменены на бинарные, хотя на промежуточных этапах по-прежнему используются скрипты.
🔴 В этой же цепочке на промежуточном этапе доставки вредоносной нагрузки атакующие задействовали инфраструктуру публичного календаря iCloud.
Зловред распространяется в том числе под видом бесплатных и взломанных версий известных приложений, а также поддельного ПО. Подробный разбор новой версии MacSync — в статье на портале Securelist.
Наши эксперты проанализировали новую версию вредоносного ПО MacSync, которое в первую очередь нацелено на криптоэнтузиастов и разработчиков. Зловред, в числе прочего, похищает данные браузеров и приложений криптокошельков, файлы конфигурации SSH, AWS, Kubernetes и GIT, а также системную информацию с устройств под управлением ОС macOS.
По сравнению с предыдущими модификациями зловред претерпел значительные изменения.
🔴 Основная вредоносная нагрузка представлена полноценными исполняемыми файлами: модуль для кражи данных написан на языке Swift, а модуль для удалённого доступа — на языке Objective-C. В прежних версиях нагрузка реализовывалась через скрипты AppleScript.
🔴 Одна из цепочек заражения примечательна длиной и сложностью: скриптовые дропперы и загрузчики здесь заменены на бинарные, хотя на промежуточных этапах по-прежнему используются скрипты.
🔴 В этой же цепочке на промежуточном этапе доставки вредоносной нагрузки атакующие задействовали инфраструктуру публичного календаря iCloud.
Зловред распространяется в том числе под видом бесплатных и взломанных версий известных приложений, а также поддельного ПО. Подробный разбор новой версии MacSync — в статье на портале Securelist.