Predchodca systému MacOS Proton RAT Calisto objavený na VirusTotal

Globálna bezpečnosť 24 hodín

Medzi 2^nda 6^thmája, a Ručná brzda zrkadlový odkaz na stiahnutie softvéru (download.handbrake.fr) bol narušený a vývojári zverejnili a výstraha oznam na 6^thz mája, ktoré majú používateľom pomôcť pri určovaní, či boli ich systémy MacOS infikované notoricky známym trójskym koňom Proton Remote Access Trojan (RAT). Bolo hlásené, že približne 50% všetkých stiahnutí uskutočnených v danom časovom rámci viedlo k infikovaným systémom zariadení. Teraz, vedci z Kaspersky sa im podarilo naraziť na predchodcu malvéru Proton RAT, Calisto, o ktorom sa domnievajú, že bol vyvinutý rok pred Protonom, pretože nemal schopnosť obísť ochranu integrity systému (SIP), ktorá vyžaduje oprávnenie správcu na úpravu základných súborov, funkcia, ktorá sa v tom čase zdokonaľovala. Vedci spoločnosti Kaspersky dospeli k záveru, že od Calista sa upustilo v prospech Protona, pretože Calistov kód sa javil ako neleštený. Calisto bol objavený dňa VirusTotal , a zdá sa, že vírus tam zostal dva až tri roky nezistený až doteraz.

Proton RAT je nebezpečný a výkonný malware, ktorý bol prvýkrát uvedený na trh koncom roka 2016 a ktorý na certifikáciu podpisu kódu Apple používa manipuláciu so systémom a získanie prístupu root v zariadeniach MacOS. Malvér dokáže obísť všetky zavedené bezpečnostné opatrenia vrátane dvojfaktorovej autentifikácie iCloudu a ochrany integrity systému, aby mohol na diaľku monitorovať činnosť počítača pomocou zaznamenávania úderov, spúšťania falošných vyskakovacích okien na zhromažďovanie informácií, snímania snímok obrazovky a vzdialeného prezerania všetkých. činnosť na obrazovke, extrakcia zaujímavých dátových súborov a sledovanie používateľa prostredníctvom jeho webovej kamery. Zdá sa, že existuje jednoduchý spôsob odstránenia škodlivého softvéru, akonáhle je detekovaný, ale ak sa zistí, že bol v systéme aktívny (ak sa v aplikácii Activity Monitor na zariadení zobrazí proces „Activity_agent“), používatelia si môžu byť istí, že tento malware uložili všetky svoje heslá a pristupovali k údajom uloženým v prehliadačoch alebo vlastnej kľúčenke Mac. Preto sa od používateľov vyžaduje, aby ich okamžite zmenili na čistom zariadení, aby nedošlo k ohrozeniu ich finančných a online údajov.

Na Protone RAT je najzaujímavejšie to, že podľa Bunka pre kybernetickú bezpečnosť a integráciu v New Jersey (NJCCIC) , tvorca malvéru, inzeroval ho ako monitorovací softvér pre spoločnosti a dokonca aj rodičov na domáce sledovanie digitálnej aktivity ich detí. Tento softvér bol označený cenou od 1 200 USD do 820 000 USD na základe licencií a funkcií poskytovaných používateľom. Tieto „monitorovacie“ funkcie však boli nezákonné, a keďže sa hackerom tento kód dostal do rúk, program bol zaslaný prostredníctvom mnohých súborov na stiahnutie z videí YouTube, napadnutých webových portálov, softvéru HandBrake (v prípade HandBrake-1.0). 7.dmg bol nahradený súborom OSX.PROTON) a prostredníctvom temného webu. Aj keď sa používatelia nemajú s Calisto čoho báť, pokiaľ je ich SIP povolený a funkčný, vedci považujú schopnosť kódu manipulovať so systémom s autentickými povereniami Apple za alarmujúcu a obávajú sa toho, čo by budúci malware mohol pomocou rovnakého mechanizmu dokázať. V tomto štádiu je Proton RAT po detekcii odstrániteľný. Pri práci na rovnakej základnej manipulácii s certifikátmi by sa však malvér mohol čoskoro zachytiť v systémoch ako permanentný agent.