Wykryto drugi malware na Maca z M1. Już 30 tysięcy zarażonych urządzeń

Strona głównaWykryto drugi malware na Maca z M1. Już 30 tysięcy zarażonych urządzeń
22.02.2021 11:55
fot. dobreprogramy
fot. dobreprogramy

Wykryto już drugie złośliwe oprogramowanie atakujące komputery Mac z procesorem Apple M1. Problem dotyczy już około 30 tysięcy komputerów, a co gorsza, nie wiadomo jak do tego doszło.

bEJIBKcB

Zagrożenie wykryli eksperci z firmy Red Canary. Ustalili, że prawie 30 tysięcy Maców z wydanym niedawno procesorem Apple'a zostało zainfekowanych "tajemniczym złośliwym oprogramowaniem". Nadali mu nazwę Silver Sparrow (z ang. srebrny wróbel). Niestety, ale poza wykryciem złośliwego oprogramowania niewiele udało się ustalić.

Malware trafił na komputery, a teraz jak twierdzą eksperci, oczekuje na dalsze instrukcje. Red Canary obawia się, że autorzy są bardzo zaawansowanymi i wyrafinowanymi twórcami złośliwego oprogramowania i skutki tego ataku mogą być fatalne. Póki co jednak nie wiemy, czego można się spodziewać po Silver Sparrow.

"Chociaż nie zaobserwowaliśmy jeszcze, aby Silver Sparrow dostarczał dodatkowe złośliwe pakiety, jego wybiegająca w przyszłość kompatybilność chipów M1, globalny zasięg, stosunkowo wysoki wskaźnik infekcji i dojrzałość operacyjna sugerują, że Silver Sparrow jest dość poważnym zagrożeniem" - oceniają badacze z Red Canary.

bEJIBKcD

Silver Sparrow wykryto 17 lutego. Ten świeży wpis na scenie złośliwego oprogramowania zainfekował już 29139 punktów końcowych macOS w 153 krajach. Według badaczy, zaatakował głównie w Kanadzie, Francji, Niemczech, Wielkiej Brytanii i Stanach Zjednoczonych. Red Canary zwraca także uwagę, że wykryto dwie wersje Silver Sparrow.

Jak Silver Sparrow trafia na komputery z systemem macOS?Jedna z wersji przeznaczona jest dla komputerów Mac z procesorami Intel, a druga powstała do infekowania zarówno chipów Intela oraz Apple M1. Co ważne, wykorzystuje JavaScript, co w przypadku złośliwego oprogramowania na Mac jest czymś niespotykanym. Jak ustalili badacze, malware znajduje się w instalatorze pliku PKG.

350289874165190036

Silver Sparrow trafia na urządzenia poprzez edytowany instalator, przykładowo fałszywego Adobe Flash Player. Prawdopodobnie cyberprzestępcy najpierw znajdują sposób, aby przekonać ofiarę do instalacji pliku. Być może odwiedzają strony "wymagające" dodatkowego oprogramowania do oglądania treści.

bEJIBKcJ

Malware ukryto w dość sprytny sposób. Kod znajduje się bowiem w sekcji instalatora (a nie w pliku PKG), stanowiącej tzw. "plik opisu", który w standardowej sytuacji służy do sprawdzania informacji takich jak np. ilość wolnego miejsca na dysku. Po jego dystrybucji na Maca, Silver Sparrow nie wykonuje żadnych złośliwych procesów, więc antywirus nawet go nie zauważa.

350289874165386644
Przykładowy instalator PKG /fot. dobreprogramy/Kamil Dudek
Przykładowy instalator PKG /fot. dobreprogramy/Kamil Dudek
Tak z wyglądają instalatory DMG, które można wykorzystać w podobny sposób /fot. dobreprogramy/Kamil Dudek
Tak z wyglądają instalatory DMG, które można wykorzystać w podobny sposób /fot. dobreprogramy/Kamil Dudek

Badacze wykryli pojawienie się Silver Sparrow na urządzeniach w momencie aktywności procesu PlistBuddy, tworzący LaunchAgent. Ten z kolei nakazuje lanunchd (element systemowy) wykonanie skryptu powłoki, który pobiera pliki w formacie JSON na dysk urządzenia. Następnie są one przekonwertowane na plik plist, który służy do określenia następnych działań dla Silver Sparrow.

bEJIBKcK

Co więcej, twórcy oprogramowania dowiadują się, skąd ofiara pobrała malware. Pomaga przy tym zapytanie sqlite3, wskazujące na adres URL, z którego pochodził plik instalacyjny. W ten sposób atakujący dowiadują się, które kanały dystrybucji ataku są najbardziej skuteczne. Obie wersje malware zawierają także plik binarny, po którego uruchomieniu wyświetla się informacja "Hello, World!" lub "You did it!".

350289874165714324
350289874165779860

Programy

Aktualizacje
Aktualizacje
Nowości
Udostępnij:
bEJIBKdz