MacOS Proton RAT’ın Bir Önceki Kalistiği VirusTotal'da Bulundu

Güvenlik Global 24s

2 arasında^ndve 6^inciMayıs a El freni yazılım indirme yansıtma bağlantısının (download.handbrake.fr) güvenliği ihlal edildi ve geliştiriciler bir uyarı 6'daki uyarı^inciMayıs ayında kullanıcılara MacOS sistemlerine kötü şöhretli Proton Uzaktan Erişim Truva Atı (RAT) bulaşıp bulaşmadığını belirleme konusunda rehberlik etmesi için. Bu zaman diliminde gerçekleştirilen tüm indirmelerin yaklaşık% 50'sinin virüslü cihaz sistemleriyle sonuçlandığı bildirildi. Şimdi, araştırmacılar Kaspersky Temel dosyaların düzenlenmesi için yönetici kimlik bilgilerini talep eden Sistem Bütünlüğü Korumasını (SIP) atlatma yeteneğine sahip olmadığı için Proton'dan bir yıl önce geliştirildiğine inandıkları Proton RAT kötü amaçlı yazılımının öncülü olan Calisto'ya rastlamayı başardı, o sırada geliştirilmekte olan bir özellik. Kaspersky'nin araştırmacıları, Calisto'nun kodu cilasız göründüğü için Calisto'nun Proton lehine terk edildiği sonucuna vardılar. Calisto keşfedildi VirusTotal ve öyle görünüyor ki virüs şimdiye kadar iki ila üç yıl boyunca tespit edilmeden kaldı.

Proton RAT, sistemi manipüle etmek ve MacOS cihazlarında kök erişimi elde etmek için orijinal Apple kod imzalama sertifikalarını kullanan ilk olarak 2016'nın sonlarında piyasaya sürülen tehlikeli ve güçlü bir kötü amaçlı yazılımdır. Kötü amaçlı yazılım, iCloud'un iki faktörlü kimlik doğrulaması ve Sistem Bütünlüğü Koruması dahil olmak üzere tüm güvenlik önlemlerini atlayabilir, böylece tuş vuruşlarını günlüğe kaydederek, bilgi toplamak için yanlış açılır pencereler çalıştırarak, ekran görüntülerini alarak, tümünü uzaktan görüntüleyerek bilgisayar etkinliğini uzaktan izleyebilir. ekrandaki etkinlik, ilgili veri dosyalarını ayıklama ve kullanıcıyı web kamerası aracılığıyla izleme. Kötü amaçlı yazılım tespit edildikten sonra kaldırmanın basit bir yolu var gibi görünüyor, ancak sistemde etkin olduğu tespit edilirse (cihazdaki Etkinlik İzleme Uygulamasında 'Activity_agent' işlemi görünürse), kullanıcılar bunun tüm şifrelerini sakladı ve tarayıcılarda veya Mac'in kendi anahtar zincirinde kayıtlı verilere erişti. Bu nedenle, finansal ve çevrimiçi verilerinden ödün vermemek için kullanıcılardan bunları anında temiz bir cihazda değiştirmeleri istenir.

Proton RAT ile ilgili en ilginç olan şey, New Jersey Siber Güvenlik ve İletişim Entegrasyon Hücresi (NJCCIC) , kötü amaçlı yazılımın yaratıcısı, bunu şirketler ve hatta ebeveynler için çocuklarının dijital faaliyetlerini evde kullanmak için izleme yazılımı olarak tanıttı. Bu yazılım, kullanıcı için verilen lisans ve özelliklere bağlı olarak 1.200 ABD Doları ile 820.000 ABD Doları arasında bir fiyat etiketi taşıyordu. Bununla birlikte, bu 'izleme' özellikleri yasa dışıydı ve bilgisayar korsanları kodu ele geçirdikçe, program YouTube videoları, ele geçirilmiş web portalları, HandBrake yazılımı (bu durumda HandBrake-1.0 gibi) altındaki birçok indirme yoluyla gönderildi. 7.dmg, bir OSX.PROTON dosyası ile değiştirildi) ve karanlık web üzerinden. Kullanıcıların, SIP'leri etkinleştirildiği ve çalıştığı sürece Calisto'dan korkacak hiçbir şeyi olmasa da, araştırmacılar kodun sistemi gerçek Apple kimlik bilgileriyle manipüle etme yeteneğini endişe verici buluyor ve aynı mekanizmayı kullanarak gelecekte kötü amaçlı yazılımların neler yapabileceğinden korkuyor. Bu aşamada, Proton RAT tespit edildiğinde çıkarılabilir. Bununla birlikte, aynı temel sertifika manipülasyonu üzerinde çalışan kötü amaçlı yazılım, kısa süre sonra kendisini kalıcı bir aracı olarak sistemlere kilitleyebilir.