Эксперты сообщают о том, что спустя всего несколько дней после того, как был обнаружен MacRansom, они наткнулись на первый вредонос-как-сервис (malware-as-a-service, MaaS) для пользователей Mac на открытом форуме, он доступен бесплатно.
Получивший имя MacSpy, вредонос, по заявлениям авторов, представляет собой «самую сложную шпионскую программу для Mac». Разработчики рекламируют MacSpy как бесплатную программу с расширенным функционалом.
Бесплатный вариант зловреда включает поддержку анонимной связи по сети TOR, позволяет делать снимки экрана, логировать нажатия клавиш, записывать голос, извлекать содержимое буфера обмена и данные браузера и перехватывать фотографии iCloud во время процесса синхронизации. Более того, эксперты AlienVault , что он рекламируется как вредоносная программа, осуществляющая рекордно низкую загрузку памяти и процессора.
Платный вариант предположительно также позволяет злоумышленникам настраивать интервалы записи, может извлекать любые файлы и данные с Mac, шифровать весь каталог пользователя за считанные секунды и маскировать вредоноса под легитимный формат файла.
Кроме того, он поддерживает ежедневную архивацию собранных файлов, доступ к электронным сообщениям и учетным записям в социальной сети, а также подпись кода.
Для того, чтобы заполучить этого MacSpy, придется отправить электронное письмо автору с желаемым именем пользователя и паролем. После создания учетной записи автор отправляет zip-файл новому пользователю вместе с инструкцией.
Судя по всему, злоумышленники могут заражать компьютеры, помещая распакованную папку MacSpy на USB-накопитель и вручную запуская 64-битный исполняемый файл, который называется «updated». Исполняемый файл не подписан, детекта антивирусов, если верить VirusTotal, на него нет.
В дополнение к файлу «updated» архив содержит 64-битный исполняемый файл «webkitproxy», 64-разрядную динамическую библиотеку libevent-2.0.5.dylib и файл конфигурации. Учитывая, что webkitproxy и libevent-2.0.5.dylib подписаны TOR, исследователи пришли к выводу, что они связаны с функцией маршрутизации Tor Onion.
Вредоносная программа также имеет функции анти-анализа, такие как проверку отладчика и виртуализации (количество ядер процессора, объем памяти). Он также проверяет, работает ли он именно на Mac. Для того, чтобы выполняться при каждом запуске, MacSpy создает запись в ~/Library/LaunchAgents/com.apple.webkit.plist.
После запуска вредонос копирует себя в ~/Library/.DS_Stores/ и удаляет исходную папку. Затем он использует команду curl для связи с командным сервером (C&C) и отправляет собранные данные с помощью POST-запросов через прокси-сервер TOR. Также он удаляет временные файлы, которые использует для сбора данных.
обнаружен MacRansom, они наткнулись на первый вредонос-как-сервис (malware-as-a-service, MaaS) для пользователей Mac на открытом форуме, он доступен бесплатно.
В ночь на 26 ноября в работе сервисов на платформе Microsoft 365, включая Teams, Exchange Online и Outlook, произошел сбой. Он продолжался 8 часов и был связан с ошибками в ходе планового обновления платформы.
Проблемы в работе сервисов Microsoft начали проявляться между 22:10 и 22:30 UTC (1:10 и 1:30 соответственно по московскому времени). Однако первые симптомы сбоя начали спорадически появляться уже в ночь на воскресенье 24 ноября.
Пользователи Outlook и Exchange Online не могли синхронизировать почту. В Teams перестали работать все функции, включая чаты, голосовые сообщения и календарь. Больше всего жалоб на прекращение работы сервисов поступало из обеих Америк, Австралии и зарубежного Дальнего Востока, где сбой пришелся на разгар рабочего дня.
Проблемы были вызваны неудачным обновлением платформы.
«Мы выявили недавнее изменение, которое, по нашему мнению, привело к сбою. Мы начали отменять изменение и выясняем, какие дополнительные действия необходимы для смягчения проблемы», — сообщили в Microsoft.
Служба поддержки Microsoft пообещала устранить проблемы за три часа. Однако оперативно это сделать не получилось, и работы затянулись до утра по UTC.
Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
