MacOS Proton RAT priekštecis Calisto atklāts vietnē VirusTotal

Drošība globāli 24 stundas

Starp 2^ndun 6^thmaijā, a Rokas bremze programmatūras lejupielādes spoguļa saite (download.handbrake.fr) tika apdraudēta, un izstrādātāji ievietoja a brīdinājums paziņojums 6^thmaijā, lai palīdzētu lietotājiem noteikt, vai viņu MacOS sistēmas ir inficētas ar bēdīgi slaveno Proton Remote Access Trojan (RAT). Tika ziņots, ka aptuveni 50% no visām šajā laika posmā veiktajām lejupielādēm izraisīja inficētu ierīču sistēmas. Tagad pētnieki Kaspersky ir izdevies paklupt uz Proton RAT ļaunprogrammatūras priekšgājēja Calisto, kas, pēc viņu domām, tika izstrādāts gadu pirms Proton, jo tam nebija iespēju apiet sistēmas integritātes aizsardzību (SIP), kas pieprasa administratora akreditācijas datus pamata failu rediģēšanai, funkcija, kas tajā laikā tika uzlabota. Kaspersky pētnieki ir secinājuši, ka Calisto tika pamests par labu Protonam, jo ​​Calisto kods šķita neslīpēts. Calisto tika atklāts VirusTotal , un šķiet, ka vīruss tur palika divus līdz trīs gadus neatklāts līdz šim.

Proton RAT ir bīstama un spēcīga ļaunprātīga programmatūra, kas pirmo reizi tika izlaista 2016. gada beigās un kurā tiek izmantoti oriģināli Apple koda parakstīšanas sertifikāti, lai manipulētu ar sistēmu un iegūtu root piekļuvi MacOS ierīcēs. Ļaunprātīgā programmatūra spēj apiet visus spēkā esošos drošības pasākumus, tostarp iCloud divu faktoru autentifikāciju un sistēmas integritātes aizsardzību, lai tā varētu attālināti uzraudzīt datora darbību, reģistrējot taustiņsitienus, izpildot viltus uznirstošos logus, lai apkopotu informāciju, uzņemtu ekrānuzņēmumus, attālināti skatītu visus darbība uz ekrāna, interesējošo datu failu izgūšana un lietotāja novērošana, izmantojot viņa tīmekļa kameru. Šķiet, ka ir vienkāršs veids, kā noņemt ļaundabīgo programmatūru, kad tā ir atklāta, taču, ja tiek konstatēts, ka tā ir bijusi aktīva sistēmā (ja process “Activity_agent” parādās ierīces Activity Monitor lietojumprogrammā), lietotāji var būt pārliecināti, ka tā ir glabāja visas savas paroles un piekļuva visiem datiem, kas saglabāti pārlūkprogrammās vai paša Mac atslēgu piekariņā. Tāpēc lietotājiem tiek lūgts tos nekavējoties nomainīt tīrā ierīcē, lai netiktu apdraudēta viņu finanšu un tiešsaistes informācija.

Kas ir visinteresantākais Proton RAT, ir tas, ka saskaņā ar Ņūdžersijas kiberdrošības un sakaru integrācijas šūna (NJCCIC) , ļaunprātīgas programmatūras veidotājs to reklamēja kā uzraudzības programmatūru korporācijām un pat vecākiem, lai uzraudzītu viņu bērnu digitālās aktivitātes mājās. Šīs programmatūras cena bija no USD 1200 līdz USD 820 000, pamatojoties uz licencēšanu un lietotājam piešķirtajām funkcijām. Šīs “uzraudzības” funkcijas tomēr bija nelikumīgas, un, kad hakeri ieguva roku rokā, programma tika nosūtīta caur daudzām lejupielādēm, izmantojot YouTube videoklipus, apdraudētus tīmekļa portālus, programmatūru HandBrake (kuru gadījumā HandBrake-1.0. 7.dmg tika aizstāts ar OSX.PROTON failu) un caur tumšo tīmekli. Kaut arī lietotājiem nav ko baidīties no Calisto, kamēr viņu SIP ir iespējots un darbojas, pētnieki satrauc koda spēju manipulēt ar autentiskiem Apple akreditācijas datiem un baidās, ko nākotnē varētu darīt ļaunprogrammatūra, izmantojot to pašu mehānismu. Šajā posmā Proton RAT pēc noņemšanas ir noņemams. Strādājot ar to pašu fundamentālo sertifikātu manipulāciju, ļaunprātīgā programmatūra drīz varētu piesaistīties sistēmām kā pastāvīgais aģents.