Новое вредоносное ПО за $49 способно красть информацию с Mac

Команда исследователей Check Point Research (CPR), подразделение Check Point Software Technologies Ltd., ведущего поставщика решений в области кибербезопасности по всему миру, сообщила о новом виде вредоносного ПО, который эволюционировал для кражи информации пользователей MacOS. Новый штамм назвали «XLoader» — он произошел от известного семейства вредоносных программ Formbook. Последние в основном предназначались для пользователей Windows, но исчезли из продажи в 2018 году. В 2020 году Formbook был переименован в XLoader. 

Исследователи CPR, изучая активность XLoader в последние шесть месяцев, обнаружили, что теперь он нацелен не только на пользователей Windows, но и Mac. 

Хакеры могут купить лицензии на XLoader в даркнете всего за 49 долларов. При этом они получают возможность собирать учетные данные для входа и снимки экрана, записывать нажатия клавиш и запускать вредоносные файлы. Как правило, жертвы загружают XLoader из фишинговых электронных писем с вредоносными документами Microsoft Office.

XLoader – серьезная потенциальная угроза для всех пользователей Mac.

Жертвы

Команда CPR отслеживала активность Xloader с 1 декабря 2020 по 1 июня 2021 года. Исследователи зафиксировали запросы на покупку XLoader от хакеров из 69 стран. Более половины (53%) жертв проживают в США. 

Распределение жертв по странам представлено на гистограмме:

Процесс заражения

XLoader обычно распространяется через фишинговые электронные письма, которые побуждают своих жертв загрузить и открыть вредоносные файлы. Как правило, это документы Microsoft Office.

Как избежать заражения: 

1. Не открывайте вложения из писем от неизвестных отправителей.
2. Избегайте посещения подозрительных сайтов.
3. Используйте надежное защитное решение, чтобы оперативно выявлять и предотвращать вредоносную активность на вашем устройстве.

Как обнаружить и удалить XLoader

XLoader искусно скрывается от обнаружения, поэтому обычному пользователю, не ИБ-специалисту, скорее всего, будет сложно оперативно распознать его присутствие в системе. Если вы подозреваете, что заражены, проконсультируйтесь со специалистом по безопасности или используйте сторонние инструменты и защитные решения для выявления, блокировки и удаления этой угрозы с вашего устройства. 

Для получения дополнительных технических подробностей команда CPR рекомендует следующие шаги: 

1. Перейдите в Автозапуск 
2. Проверьте свое имя пользователя в ОС.
3. Перейдите в каталог / Users / [имя пользователя] / Library / LaunchAgents.
4. Проверьте каталог на подозрительные имена файлов (пример ниже - случайное название). /Users/user/Library/LaunchAgents/com.wznlVRt83Jsd.HPyT0b4Hwxh.plist
5. Удалите подозрительный файл. 

«Исследуя разные киберпреступления, мы увидели интересную разработку на базе известного семейства вредоносных программ Formbook, — рассказывает Янив Балмас, руководитель отдела киберисследований Check Point Software. — XLoader — гораздо более сложная и совершенная программа, чем ее предшественники, и поддерживает различные операционные системы, в частности MacOS. Исторически угрозы для MacOS не были широко распространены: как правило, они были из категории шпионского ПО и не причиняли слишком большой ущерб. Думаю, что среди пользователей MacOS существует распространенное заблуждение, что ОС Apple более безопасна, чем другие. Раньше мы могли бы сказать, что между вредоносными программами для Windows и MacOS был разрыв, но сейчас он постепенно сокращается. Вредоносное ПО для MacOS становится все опаснее и распространеннее. Наши недавние исследования подтверждают эту тенденцию. Киберпреступники все больше интересуются платформой MacOS — и лично я ожидаю очень скоро увидеть больше киберугроз. Семейство Formbook — только начало. Поэтому я бы дважды подумал, прежде чем открывать вложения из писем, которые я получаю от неизвестных отправителей».