В дикой природе нашли macOS-версию модульного шпиона LightSpy

Екатерина Быстрова 31 Мая 2024 - 12:05

...

В дикой природе нашли macOS-версию модульного шпиона LightSpy

Специалисты наткнулись на macOS-версию шпионского софта LightSpy. Авторы явно пытаются расширить список целевых устройств и перейти на десктопы, поскольку ранее вредонос атаковал только Android и iOS.

В сущности, LightSpy представляет собой модульный фреймворк, позволяющий операторам похищать данные жертвы, вытаскивать файлы, снимать скриншоты и отслеживать геолокацию.

Интересно, что шпионское приложение может записывать голос во время звонков по WeChat, получать платёжную информацию из китайского мессенджера и извлекать данные из Telegram и QQ.

Как пишут в отчёте специалисты ThreatFabric, macOS-вариант LightSpy был замечен в реальных кибератаках. Злоумышленники запускают его как минимум с января 2024 года. Однако пока эти атаки больше похожи на тестирование возможностей новой версии.

Исследователям удалось добраться до панели управления LightSpy благодаря обнаруженной ошибке в конфигурации, открывающей неавторизованный доступ к интерфейсу упомянутой панели.

Чтобы пробраться на компьютеры под управлением macOS, шпион использует две уязвимости в движке WebKit — CVE-2018-4233 и CVE-2018-4404, допускающие выполнение кода в Safari (бреши актуальны для macOS 10.13.3 и более ранних версий ОС).

64-битный MachO-бинарник вредоноса маскируется под изображение в формате PNG (20004312341.png). Попав в систему, этот файл расшифровывает и выполняет встроенные скрипты.

На втором этапе пейлоад задействует для повышения прав эксплойт «ssudo», расшифровывает утилиту «ddss» и ZIP-архив «mac.zip» (в нём лежат исполняемые файлы update и update.plist).

Версия шпионского софта для macOS использует десять плагинов:

Soundrecord — захватывает звук с микрофона.
Browser — извлекает данные из популярных браузеров.
Cameramodule — снимает фотографии с помощью встроенной камеры.
FileManage — извлекает данные м файлы из мессенджеров.
Keychain — получает данные из связки ключей macOS.
LanDevices — считывает информацию об устройстве и локальной сети.
Softlist — получает список установленных приложений и запущенных процессов.
ScreenRecorder — записывает активность на дисплее.
ShellCommand — выполняет шелл-команды.
10.Wi-Fi — собирает данные о сетях Wi-Fi.

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Читайте также

ГАС Правосудие снова работает со сбоями

Яков Шпунт 22 Апреля 2025 - 16:06

Сбои программ Домашние пользователи Государство

Система ГАС «Правосудие» вновь испытывает сбои. Пользователи жалуются на медленную работу сервисов, а в некоторых регионах — и на полную недоступность сайта.

Согласно данным сервиса Downdetector.su, пик обращений пришёлся на интервал с 10:00 до 11:00 по московскому времени. Основная масса жалоб связана с низкой скоростью работы сервисов. Особенно часто пользователи отмечали трудности при подаче документов в суды общей юрисдикции. Также фиксировались проблемы с доступом к сайтам отдельных районных судов.

С точки зрения географии больше всего жалоб поступило из Удмуртии. С заметным отрывом следуют Нижегородская и Саратовская области. В этих регионах также отмечен наибольший процент недоступности сайтов районных судов. Замыкают пятёрку лидеров по числу проблем Санкт-Петербург и Краснодарский край.

У автора этих строк сайт sudrf.ru открывался, однако работал с существенными задержками. Попытки найти судебные решения оказались безрезультатными.

Напомним, в октябре 2024 года ГАС «Правосудие» подверглась атаке со стороны проукраинской хакерской группировки BO Team. В результате в инфраструктуру системы был внедрён шифровальщик. На полное восстановление работоспособности ушло семь недель.