Новый вредонос под macOS использует уязвимость нулевого дня

Новый вредонос под macOS использует уязвимость нулевого дня

Новый вредонос под macOS использует уязвимость нулевого дня

Новый инструмент удаленного доступа (RAT) атакует macOS, используя уязвимость нулевого дня для получения доступа root.

Вредонос получил название Proton, по сообщениям исследователей Sixgill, он был найден на российском закрытом форуме для киберпреступников. На данный момент зловред предлагают за 2 биткоина (около 2500 долларов США) для одноразового использования, а за 40 биткоинов можно получить его для неограниченного использования.

По мнению эксперта, Proton был написан на Objective C и полностью не поддается обнаружению существующими антивирусными программами для macOS.

Proton преподносится авторами как инструмент, способный предоставить злоумышленнику полный контроль над компьютером жертвы. Вредонос может выполнять любую bash-команду под root, отслеживать нажатия клавиш, загружать и скачивать файлы, делать скриншоты, получать обновления и отправлять уведомления злоумышленнику.

Proton также позволяет злоумышленнику подключиться по SSH/VNC к зараженной машине. Кроме того, этот инструмент также способен предоставить доступ к iCloud, даже если включена двухфакторная аутентификация.

По словам Sixgill, данный вредонос имеет подлинные сигнатуры подписи кода Apple. Скорее всего, его автор обманул процесс фильтрации Apple для сторонних разработчиков программного обеспечения путем регистрации в программе разработчиков Apple под ложным идентификатором, либо путем использования украденных учетных данных разработчика, что позволило ему получить необходимые сертификаты.

Для того, чтобы заразить macOS-устройство, злоумышленники должны замаскировать его под легитимное приложения и заставить пользователя загрузить и установить его.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В США оглашены обвинения по делу предполагаемого разработчика LockBit

В окружном суде штата Нью-Джерси огласили обвинения, выдвинутые против Ростислава Панева. Гражданину России и Израиля инкриминируют соучастие в разработке кодов LockBit и обеспечении работы сервиса на основе этого шифровальщика (RaaS).

Арест 51-летнего подозреваемого состоялся в августе этого года в Израиле. Вопрос о его экстрадиции в США пока не решен.

Согласно материалам дела, в период с 2019 года по февраль 2024-го Панев за плату помогал стоящей за LockBit ОПГ совершенствовать RaaS-зловреда, который применялся против тысяч организаций в 120 странах и принес вымогателям не менее $500 млн в виде выкупа за возврат зашифрованных данных.

В ходе обыска на компьютере задержанного были обнаружены учетки администратора репозитория кода, размещенного в даркнете. Как оказалось, в нем хранились исходники билдера LockBit разных версий.

Там же были обнаружены ключи доступа к панели управления шифровальщиком и исходные коды инструмента StealBit, предоставляемого подписчикам RaaS для вывода украденных данных.

По имеющимся свидетельствам, за свои услуги Панев ежемесячно получал примерно $10 тыс. в криптовалюте. За 20 месяцев главный админ LockBit-сервиса Дмитрий Хорошев суммарно перевел ему более $230 тысяч.

В ходе допросов арестованный признал, что оказывал содействие группировке LockBit в качестве программиста, разработчика и консультанта, а также что получал плату за услуги в криптовалюте. В частности, им были созданы коды для нейтрализации антивирусов, развертывания зловреда в корпоративных сетях и вывода на печать записки с требованием выкупа.

Арест Панева был проведен по итогам совместного расследования ФБР и партнеров из 11 стран. Перед этим международной правоохране удалось обезвредить часть инфраструктуры LockBit — взять под контроль серверы, заблокировать сайты.

В Нью-Джерси в настоящее время открыто семь дел в связи с распространением продуктивного шифровальщика. Кроме Панева и Хорошева, обвинения выдвинуты против предполагаемых подписчиков RaaS Михаила Васильева и Руслана Астамирова; оба уже сознались в совершении преступлений и ждут приговора.

Параллельно с операцией по ликвидации инфраструктуры LockBit в том же штате были оглашены обвинения, выдвинутые против Артура Сунгатова и Ивана Кондратьева, использующего ник Bassterlord. Им тоже инкриминируют проведение атак с использованием шифровальщика; оба фигуранта пока не пойманы.

США также очень надеются заполучить и призвать к ответу Михаила Матвеева, известного как Boriselcin и Wazawaka. По данным ФБР, россиянин использовал в атаках не только LockBit, но и других шифровальщиков, однако американцам придется встать в очередь: недавно стало известно, что Матвеева будут судить на родине за создание аналогичного вредоноса.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru