12 maja 2017

Analitycy bezpieczeństwa Doctor Web wykryli i przebadali nowego trojana dla systemu macOS firmy Apple, który wykonuje polecenia wydawane przez cyberprzestępców.

Ten trojan typu backdoor został dodany do baz wirusów Dr.Web pod nazwą Mac.BackDoor.Systemd.1. Uruchomiony wyświetla na konsoli wiadomość zawierającą błąd w treści — “This file is corrupted and connot be opened” — i restartuje sam siebie jako demona o nazwie systemd. Dodatkowo Mac.BackDoor.Systemd.1 próbuje ukryć swój plik, oznaczając go odpowiednimi flagami. Następnie trojan tworzy plik z użyciem komend SH i pliku PLIST w celu zarejestrowania siebie w mechanizmie autorun.

Trojan przechowuje w swoim własnym pliku zaszyfrowaną informację. Ta informacja określa czy Mac.BackDoor.Systemd.1 samodzielnie zestawi połączenie z serwerem kontrolno-zarządzającym, lub czy zaczeka na przychodzące żądanie połączenia. Po podłączeniu backdoor wykonuje odbierane komendy i okresowo wysyła do cyberprzestępców następujące informacje:

• Nazwa i wersja systemu operacyjnego;
• Nazwa użytkownika;
• Dostępność uprawnień root’a;
• Adresy MAC wszystkich dostępnych interfejsów sieciowych;
• Adresy IP wszystkich dostępnych interfejsów sieciowych;
• Zewnętrzny adres IP;
• Typ CPU;
• Ilość pamięci RAM;
• Dane o wersji malware i jego konfiguracji.

Trojan posiada swój własny menedżer plików, który pozwala cyberprzestępcom na wykonywanie na zainfekowanym komputerze różnych działań na plikach i folderach. Backdoor potrafi wykonywać następujące polecenia:

• Odbierz listę zawartości określonego katalogu;
• Odczytaj plik;
• Zapisz do pliku;
• Uzyskaj zawartość pliku;
• Usuń plik lub folder;
• Zmień nazwę pliku lub folderu;
• Zmień uprawnienia dla pliku lub folderu (polecenie chmod);
• Zmień posiadacza obiektu plikowego (polecenie chown);
• Utwórz folder;
• Wykonaj polecenie w powłoce bash;
• Zaktualizuj trojana;
• Ponownie zainstaluj trojana;
• Zmień adres IP serwera kontrolno-zarządzającego;
• Zainstaluj wtyczkę.

Mac.BackDoor.Systemd.1 jest z powodzeniem wykrywany i usuwany przez produkty Dr.Web dla komputerów Mac i, tym samym, nie stanowi on zagrożenia dla naszych użytkowników.

Więcej na temat tego trojana