アンゴランの活動家のコンピューターで発見されたMac OS Xマルウェア

研究者は、アンゴラの活動家のMacでユーザーをスパイするように設計されたマルウェアを発見しました。

独立系のセキュリティ研究者であるジェイコブ・アペルバウムは、オスロ自由フォーラムでアペルバウムがツイッターに書いている間に、活動家のマックに新しい未知のバックドアを発見しました。 彼はすぐに別の活動家のコンピューターで2番目の亜種を発見しました。

「これはまったく新しい動作をするまったく新しいマルウェアのようです」とBitDefenderのBogdan Botezatuは SecurityWatchに 語りました。

少なくとも最初の攻撃の場合、活動家はスピアフィッシング攻撃の被害者であり、Macにログインしている間にマルウェアをダウンロードしてインストールするように誘われました、とBotezatuは言いました。

マルウェアの機能

バックドアアプリケーションは、ユーザーのコンピューターのスクリーンショットを撮り、MacAppと呼ばれるユーザーのホームディレクトリ内のフォルダーに保存するようです。F-Secureのショーンサリバンは、同社のブログに書いています。 F-Secureの研究者は、それが商業的に開発されたのではないかと疑っている、とサリバンは SecurityWatchに 語った。

アプリケーションは、インストールされると、現在のユーザーのログインアイテムのリストに追加されます。これは、ユーザーがMacにログインしたときに自動的に実行されるアプリケーションのリストです。 マルウェアは、2つのコマンドアンドコントロールサーバーにスクリーンショットをアップロードしました。1つはオランダにあり、もう1つはフランスにあります。

コマンドアンドコントロールサーバーの主な目的はすべてのスクリーンショットを収集することですが、ホスト名と感染したマシンに関する追加情報も保存する、とBotezatuは言いました。 BitDefenderの研究者は、Macバックドアの2番目の亜種もルーマニアのサーバーと通信して、追加のペイロードとコンポーネントをダウンロードすることを発見しました。

Botezatu氏によると、他のサーバーが停止した場合、このサーバーが犯罪者のフォールバックとして機能する可能性があります。

マルウェア自体は「洗練されていません」が、「あまりうるさくせずに」そのコンピューターでのユーザーの活動に関する情報を収集することは依然として可能でした、とBotezatuは言いました。

Apple IDは盗まれましたか？

マルウェアは有効なApple Developer IDで署名されているため、Mac OS XのGatekeeper機能では検出されません。Appleは、Mac OS X Mountain LionおよびLionでインターネットからダウンロードした署名のないアプリケーションの実行を防ぐGatekeeperを導入しました昨年v10.7.5。 BitDefenderは、これが正当なApple IDでデジタル署名された最初のMacマルウェアであると考えています。

現時点では、キーが正規の開発者から盗まれたかどうか、またはマルウェア開発者がAppleをだましてIDを生成させたかどうかは不明です。 名前が最近亡くなった有名なボリウッドのスターに似ていることを考えると、開発者が申請プロセスの一環として偽のアイデンティティを作成した可能性が高い、とBotezatuは述べた。

ユーザーは自分のホームディレクトリを見て、感染しているかどうかを判断するMacAppフォルダーがあるかどうかを確認できます。

マルウェアは簡単に検出されたため、「ラメ」でしたが、依然として「致命的」でした、とAppelbaumは言いました。 「問題は、著者が誰かを致命的な危険にさらすのに十分であったということです」とAppelbaumはTwitterに書いています。