Powtórka z CCleanera: producent aplikacji na macOS-a rozsiewał szkodnika Proton

Eltima Software, producent popularnych aplikacji na macOS-a, padłofiarą ataku jak nic przypominającego to, co wydarzyło sięproducentowi CCleanera. Napastnicy uzyskali dostęp do serwerówdewelopera, umieścili w plikach instalacyjnych malware, a potemtylko patrzyli, jak radośnie klikający właściciele Makówinfekują swoje maszyny Protonem – trojanem zawierającym modułzdalnego dostępu.

Kto wie, ile osób by padło ofiarami infekcji, gdyby nieinterwencja ekspertów z firmy ESET. Dostrzegli oni zagrożenie 19października, natychmiast informując administratorów z EltimaSoftware. Pliki pobrane ze strony Eltimy po 20 października,godzinie 0:10, były już bezpieczne. Wszyscy ci, którzy jednakinstalowali którąś z aplikacjiEltimy na Maka, na czele z popularnym odtwarzaczem Elmedia Playeri menedżerem pobierania Folx, prawdopodobnie już utracili kontrolęnad swoimi komputerami – instalując na nich przy okazji malwareOSX.Proton.

Proton jest raczej kosztownym szkodnikiem, za licencję jegoautorzy chcą 50 tys. dolarów. Inwestycja najwyraźniej się opłaca– Proton otwiera furtkę w systemie, dając dostęp z uprawnieniamiroota, pozwala wykraść hasła, klucze szyfrujące i portfele zkryptowalutami z zainfekowanych systemów, daje też dostęp do kontaiCloud ofiary, sprytnie pomijając dwuelementowe uwierzytelnianie.

Obecność trojana w systemie zdradzają następujące pliki ikatalogi:

/tmp/Updater.app/ /Library/LaunchAgents/com.Eltima.UpdaterAgent.plist /Library/.rand/ /Library/.rand/updateragent.app/

Jeśli znajdziecie takie na swoim Maku, to jesteście ofiaramitego cyberataku. W teorii Protona powinny rozpoznać i usunąćantywirusy, ale w praktyce pozbycie się Protona wcale łatwe niejest. Eltima przyznaje, że jedynym gwarantowanym sposobem nausunięcie zagrożenia jest pełna reinstalacja systemu. Następnienależy zmienić wszystkie hasła i klucze dostępowe.

W naszej bazie oprogramowania na Maka oferujemy sześćaplikacji Eltimy, w tym menedżer pobierania Folx. Jaksprawdziliśmy, wszystkie są już bezpieczne.