Как стать автором
Обновить

На 30 тысячах компьютеров с macOS нашли странный зловред, который ждёт команду

Блог компании Дата-центр «Миран» Информационная безопасность *Антивирусная защита *Разработка под MacOS *
Всего голосов 28: ↑25 и ↓3 +22
Просмотры 21K
Комментарии 30

Комментарии 30

Под MacOS же вирусов нет...

Под любую ОСь есть зловреды. Вопрос лишь в том сколько сил и средств, необходимо чтоб заразить целевую ОС и что получить в результате.
Под TempleOS нет ни одного!
BolgenOS
Вопрос ещё в распространённости целевой ОС, всё ещё фактически дефолтной ОС для персоналок является Windows.
Использование Amazon Web Services и сети доставки контента Akamai обеспечивает надёжную работу командной инфраструктуры, а также затрудняет блокировку серверов.

Мне кажется, так заблокировать сервер даже проще, надо лишь попросить Амазон заблокировать этот бакет и аккаунт, которому он пренадлежит. Или я чего-то не понимаю?

Уже заблокировали.
Возможно, Амазон некоторое время тупил.
Ну или пытались дождаться, пока кто-то подключится и закачает полезную нагрузку — с целью выследить.

На основании чего? Есть нечто что по некоторым признакам похоже на малварь — но ничего плохого не сделало, и вообще не факт что сделает или даже собирается — это всё предположения.


Может там вообще ничего малварного не планируется, вне зависимости от того на что это похоже — например всякие античиты и защиты в популярных играх (и приложениях) иногда намного больше похожи на малварь.


Полезная нагрузка вообще может оказаться анонсом како-либо нового продукта, игры или чего-то в таком духе, чтобы выпрыгнуть как чёртик из табакерки в нужный момент одновременно на куче устройств.


Любопытно, что вредоносное ПО поставляется с механизмом полного удаления, который обычно используется в профессиональных разведывательных операциях.

А ещё как минимум адобовские инсталлеры флеша таким механизмом снабжались и удаляли себя после установки.

Да это просто пасхалка!
вредоносная программа Silver Sparrow
исследователи из компании Red Canary

совпадение? :)

Почти — исследователи сами дали это название.

В блоке Red Canary есть детальная инструкция о признаках заражения системы данной программой, но вот к сожалению способов лечения ни здесь, ни там не описано. По всей видимости ждать обновлений АВ программ?

А механика заражения какая?

  1. Вы покупаете компьютер с MacOS.
    ...
  2. Заражение
На Windows-ноутбуках вообще один шаг:
1. Вы покупаете ноутбук с дырявым (читай заражённым) ПО от производителя…
Обязательно должен быть шаг «Profit».

Механика заражения скорее всего такая-же как и у всех остальных вирусов под macOS :1) скачай вирус 2) распакуй 3)установи сам и запусти

Ну, то есть так себе новость.

Ну как сказать…
Скачанная и запущенная бухгалтершей программа вполне способна самостоятельно заразить сеть.

Так а после отзыва лицензии разработчиков бинарников этот зловред вообще будет работать? Его бинарники же не запустятся?

Я так понимаю, зависит от настроек ОС, по умолчанию не запустится

Даже если стоит режим "доверять всем", макось всё равно требует идти при первом открытии в настройки безопасности и вручную подтверждать приложение, вводя пароль администратора. Так что само не запустится. Плюс, это я описал ситуацию для приложения без подписи. Я не знаю, получится ли вообще запустить приложение, лицензию разработчика которого явно отозвали.

Silver Sparrow had infected 29,139 macOS endpoints across 153 countries as of February 17
Вообще интересно, что довольно большое число стран, такое впечатление, что это какая-то многовекторная атака.
Возможно ответ здесь: «может быть поисковая выдача, то есть установщики, скорее всего, выдают себя за законные приложения» не поломанные ли программы установлены у клиентов? Многие чтоб не платить за лицензионное ПО, качают его с торрентов, при этом давая установщику право выполняться в обход предепреждения ОС.

Технически сложная программа, но ничего не делает, по крайней мере пока. Зачем, вот вопрос. Может обкатывают новую технологию?

”Зловред открыли исследователи из компании Red Canary."
Серебряного воробья открыла красная канарейка… Мой фиолетовый павлин плачет от смеха

Будет, скажем, крайне неожиданно, если полезная нагрузка, внезапно, появится при попытке подключения с IP-адресов, например, Ирана…
обнаруженная почти на 30 000 компьютерах Mac по всему миру
Раз в час заражённые компьютеры проверяют контрольный сервер
Но до сих пор никакой полезной нагрузки не доставлено ни на одну из 30 000 заражённых машин.

Я че-то аж поднапрягся… Откуда «исследователи» знают о количестве зараженных клиентов? Откуда они знают доставлено ли что-то на клиенты или нет? Получается «исследователи» имеют доступ к серверу? И к клиенту? Может это их сервер? И их малваря?

Но, похоже, все довольно просто:
Malwarebytes researchers collaborated with Red Canary researchers on their find, and have collected significant data about the infection at this point. At the time of this writing, we’ve seen 39,080 unique machines with components of Silver Sparrow detected by Malwarebytes.
blog.malwarebytes.com/mac/2021/02/the-mystery-of-the-silver-sparrow-mac-malware

Получается malwarebytes, видимо, просто «покопались» в тех маках, на которых стоят их защитные продукты.

Короче, хочешь без смс и регистрации покопаться в чужом компьютере имей в друзьях компанию предлагающую антивирусное ПО.

Не столько "покопались", сколько добавили сигнатуру конкретного модуля в антивирь и настроили отправку событий нахождения этого конкретного модуля в сборщик антивирусной телеметрии. Такие сейчас почти у каждого вендора антивирусов есть. А дальше просто select unique id из собранной базы.

Ну я могу предположить, что хозяин ботнета прячется, чтобы использовать 0 day уязвимость, а пока просто набирает базу.
Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.