Новый вирус EvilQuest шифрует файлы на Mac и вымогает деньги
Создатели антивируса Malwarebytes сообщили о новом вредоносном ПО под названием EvilQuest.
На торрент-трекерах обнаружилось пиратское приложение Little Snitch. Оно доступно с установочным PKG-файлом, которого нет в лицензионной копии. Он якобы стирает лишние данные установки, но по факту загружает на Mac вирус.
Файл сценария копируется в папку, связанную с приложением Little Snitch, под именем CrashReporter. Пользователь не заметит, что вирус появился в мониторе активности, поскольку macOS имеет внутреннее приложение с похожим именем. Находится здесь: /Library/LittleSnitchd/CrashReporter.
Спустя некоторое время EvilQuest начинает зашифровывать файлы юзера и требовать деньги за их разблокировку. Часть шифрования приводит к тому, что Finder не работает должным образом, и система постоянно падает. Даже Связка ключей не может нормально функционировать.
Сообщение на экране говорит, что владелец компьютера должен заплатить $50 за восстановление данных, иначе все будет удалено через три дня.
Вредоносное ПО продолжает работать даже после шифрования файлов, и удалить его нельзя. Эксперты Malwarebytes советуют откатиться к ближайшей резервной копии. [9to5]
Источник
Mac на службе у хакера. Часть 1 – Шифрование диска
Первая статья будет посвящена шифрованию диска, что поможет защититься от всех интересующихся нашими битами и байтами.
Так повелось, что большая часть руководств по взлому и пентестам пишется с позиции Linux-пользователя. Существуют, конечно, исключения из этого правила, но в целом складывается впечатление, что ОС Linux единственная система, которая пригодна для подобного рода задач. На самом деле эта идея не далека от истины, поскольку правильная настройка систем от компании Apple для нужд специалиста по безопасности – не такая простая задача.
До появления macOS (когда была система OS X) проведение исследований, связанных с безопасностью, на машинах от Apple было немного комичным. Подходящих инструментов было мало, а аппаратная часть была заточена под специфические нужды. Как итог, у разработчиков не было особой мотивации для адаптации своих творений, поскольку OS X занимала небольшую долю рынка и была малопригодна для серьезных дел. В тот момент на сцене господствовали Windows и Linux.
Но времена изменились, и теперь macOS – серьезный конкурент в борьбе за внимание специалистов по безопасности. На данный момент эта система занимает 7,4 и 13% рынка в мире и США соответственно.
На Apple-машинах работает вариант ОС UNIX, совместимый со стандартном POSIX, а аппаратная часть ничем не отличается от начинки современных компьютеров, что позволяет запускать большинство утилит, используемых пентестерами, в ОС Mac. Кроме того, на Apple-машинах можно с легкостью запускать и Windows и Linux. Короче говоря, на систему macOS, которой к тому же легко пользоваться и обслуживать, как минимум, стоит обратить свое внимание.
Эта серия статей была задумана с целью помочь вам преодолеть первоначальные препятствия, связанные с настройкой системы macOS. Как только среда будет готова, при работе с утилитами не возникнет никаких сложностей.
Кроме того, будет совершенно нелишним изучать азы текстового редактора Vim, функционал которого схож и в Linux и в Mac.
После ознакомления и выполнения инструкций из всех руководств, у вас будет настроенный Mac, пригодный для выполнения тестов на проникновение. К тому же, вы поймете, почему эти вещи жизненно важны. Если базовые утилиты для настройки системы могут отличаться в зависимости от платформы, основные концепции остаются неизменными. Вы получите знания, которые пригодятся не только при работе с macOS, но и со всеми остальными платформами.
Начиная повествование первой части, я предполагаю, что у вас есть чистая система с macOS. В противном случае, могут возникнуть некоторые расхождения в процедуре настройки.
Первая статья будет посвящена шифрованию диска, что поможет защититься от всех интересующихся нашими битами и байтами. Кроме того, использование шифрование уже стало стандартом вне зависимости о того, на какой стороне вы находитесь, темной или светлой. После того как методы шифрования стали доступны повсеместно, причины работать в открытую просто отсутствуют.
Мы будем использовать FileVault (средство, встроенное в ОС Mac), которое позволяет полностью зашифровать диск в 128-битном режиме XTS-AES. Эта схема шифрования рекомендуется Национальным институтом стандартов и технологий (NIST), совместима с Федеральным стандартом по обработке информации и пригодна к использованию в подотчетных отраслях, таких как правительство и медицина. То есть схема достаточно надежная.
Шаг 1: Переход во вкладку FileVault
Зайдите в System Preferences и в первом ряду выберите Security & Privacy. В качестве альтернативного варианта можно воспользоваться следующей командой (просто скопируйте команду в терминал и нажмите Enter). Опция –b (bundle identifier; идентификатор набора) говорит о том, что нужно открыть файл Security.prefPane с системными настройками.
- open -b com.apple.systempreferences /System/Library/PreferencePanes/Security.prefPane
Рисунок 1: Панель системных настроек
Далее зайдите в раздел Security & Privacy и выберите вкладку FileVault. Чтобы внести изменения, вам потребуется кликнуть на замок в левой нижней части окна и во всплывающем окне и ввести параметры (имя и пароль) административной учетной записи.
Рисунок 2: Вкладка для настройки шифрования диска
Шаг 2: Включение FileVault
Перед тем как нажать на кнопку «Turn On FileVault», необходимо ознакомиться с предупреждением, которое отображено на экране.
Предупреждение: Для доступа к данным вам необходим пароль для входа или ключ восстановления. Ключ восстановления автоматически генерируется во время настройки. Если вы забудете пароль и ключ восстановления, информация будет утеряна.
Перечитайте предыдущий абзац еще раз. Потеря пароля и ключа эквивалентна удалению всей информации, поскольку нужно сделать именно такую операцию, чтобы ваш Mac стал снова в рабочем состоянии.
Далее нажмите на кнопку «Turn On FileVault».
В зависимости от того, вошли ли вы через iCloud или нет (для версий Yosemite и выше), появится диалоговое окно с вопросом о том, хотите ли вы использовать учетную запись в iCloud или ключ восстановления для обнуления пароля в случае утери. Я предпочитаю хранить копию ключа в надежном месте, поскольку облако, по сути своей, является чьим-то компьютером. (Если вы не залогинились в iCloud, то сразу же увидите ключ восстановления).
После того как вы определились со способом хранения ключа, нажмите Continue.
Рисунок 3: Выбор способа разблокировки диска
Чтобы сохранить ключ в безопасности, перед тем как продолжить, я скопирую текст в документ, распечатаю на бумаге и уберу распечатку в безопасное место. Никогда не храните ключ на машине. Если вы забудете пароль, у вас не будет доступа к ключу, и вы не сможете разблокировать систему.
После того как ключ сохранен в надежном месте, еще раз нажмите Continue.
Рисунок 4: Ключ для восстановления системы в случае утери пароля
Если в системе есть другие пользователи, появится диалоговое окно, где можно выдать разрешение нужным пользователям. Для разблокировки диска соответствующий пользователь должен ввести свой пароль. Естественно, нужно разрешить разблокировку для административной учетной записи. Остальные пользователи — на ваше усмотрение. Далее опять нажмите на кнопку Continue.
Рисунок 5: Разрешение на разблокировку диска для пользователей
Шаг 3: Перезагрузка системы
По окончанию настройки появится сообщение о перезагрузке. Если нужно, сохраните ранее сделанную работу, и выполните перезагрузку систему.
После инициации перезагрузки FileVault начнет шифровать диск в фоновом режиме, что может вызвать серьезные замедления до тех пор, пока весь процесс не закончится. Время шифрования зависит от размера диска. Наблюдать степень завершения процесса можно во вкладке FileVault.
Рисунок 6: Шифрование диска
Примечание: Если у вас современная система с SSD процесс шифрования и дешифрования будет происходить значительно быстрее по сравнению с HDD дисками. Если скорость загрузки для вас важна, вы находитесь на темной стороне и должны шифроваться в обязательном порядке, то вероятно вам будет полезен этот совет.
Шаг 4: Проверка ключа
Завершающий шаг – проверка ключа, чтобы убедиться, что вы можете расшифровать диск в любой момент (этот функционал доступен в версиях Mavericks и выше). Для проверки мы будем использовать приложение Terminal из папки Utilities внутри директории Applications.
Рисунок 7: Командная строка в терминале
В окне терминала введите следующую команду и нажмите Enter:
sudo fdesetup validaterecovery
Появится запрос на ввод административного пароля. Во время ввода символы пароля не будут видны. После ввода нажмите Enter.
Затем появится запрос на ввод ключа восстановления, который должен быть в формате xxxx-xxxx-xxxx-xxxx-xxxx-xxxx. Как и в случае с административным паролем, вводимые символы ключа вы не видите. Поэтому либо вводите медленно, либо скопируйте в текстовый документ, а потом вставьте в терминал и нажмите Enter.
Если ключ корректный, шелл вернет значение true.
Рисунок 8: Результаты проверки ключа
Причин неудачной проверки может быть несколько: либо ключ набран неверно, либо скопирован неверно, либо поврежден. Если вы уверены, что ключ верный, необходимо зайти в настройки File Vault, отключить эту функцию и повторить весь процесс, начиная с шага 2.
Теперь ваш диск готов к работе
После завершения процесса ваш диск стал зашифрован. Только не забывайте, что диск защищен только, когда компьютер выключен.
Росс Ульбрихт (Ross Ulbricht), один из известных операторов проекта Silk Road, использовал шифрование диска для защиты ноутбука, но не придерживался других правил безопасности. Агенты ФБР перед захватом дождались, когда Росс авторизуется, и диск расшифруется. В итоге Ульбрихт получил пожизненное заключение.
Старайтесь не повторять подобного рода ошибок.
В следующих статьях мы поговорим о шифровании образов дисков, об использовании приложений KeePass, Terminal и т. д.
Источник
Есть ли вирусы под Мас?
Есть ли «вирусы» под Mac? Если совсем коротко, то скорее да, чем нет. Хотите узнать, почему такой немного странный ответ?
Большое количество людей «вирусами» называют всё вредоносное программное обеспечение. Если подходить формально, то вирусами можно называть только программы, которые могут самостоятельно распространяться.
Но тут есть нюанс — нынешнее вредоносное ПО зачастую сложное и может состоять из нескольких компонентов — одни отвечают за заражение, другие за распространение, третьи за полезную для злоумышленников нагрузку. Вирусы могут также группироваться по различным признакам, например, по способу распространения или вредоносной нагрузке.
Поэтому предлагаю не вдаваться в полемику вирус это или не вирус, а попробовать понять, угрожает ли вредоносное ПО нашим макам и если угрожает, то какое и как заражает системы.
История
Наверняка многих мучает вопрос, когда же появился первый вирус для компьютеров фирмы Apple. Одними из самых первых считаются вирусы Virus 1,2,3 и ElkCloner. Написаны они были в далеком 1981 году.
Вирус с нехитрым названием Virus создавался как проверка концепции. Основной идеей было написать программу, которая могла бы самостоятельно распространяться, но не влияла на другие приложения. Первые две версии самостоятельно распространялись, но влияли на работу системы или другого софта. Поэтому версий три.
Через несколько лет после 1981 появились и другие вирусы. В конце 80-х и в 90-х годах было создано несколько десятков вредоносного ПО.
Как известно, тогда компьютеры Apple еще не использовали процессоры Intel. Да и вообще мир компьютеров сильно отличался от нынешнего — персональные компьютеры, и тем более доступ в сеть Интернет был далеко не у всех, а к компьютерным угрозам относились совсем по-другому. По сравнению с мейнфреймами, физический доступ к которым осуществлялся поочередно, у персональных компьютеров совершенно другая модель угроз. Например, один компьютер в сети может попытаться атаковать другой.
Первые вредоносы делали больше из любопытства или жажды славы. Впоследствии это стало средством наживы (назвать это заработком язык не поворачивается). Давайте посмотрим, как обстоят дела сегодня.
Наше время (2016-. )
Keranger — 2016
Распространялся вместе с торрент клиентом Transmission, сайт которого был взломан и в официальный инсталлятор внедрен вредоносный код. Модифицированное приложение было подписано, поэтому защита в виде GateKeeper сработать не могла. Наверное, это был первый шифровальщик для macOS.
Eleanor — 2016
Распространялся данный вирус под видом обычного приложения EasyDoc Converter.app вне AppStore. Приложение должно конвертировать документы из одного формата в другой, но оно делает что угодно, но только не это. В частности, оно устанавливает на компьютер пользователя бэкдор, который работает через сеть Тор. Имя нового Тор-сервиса размещается на pastebin.com, откуда его и получает злоумышленник.
Keydnap — 2016
Еще один интересный бэкдор распространялся в виде zip архива. Внутри находился файл “screenshot.jpg “ (именно с пробелом в конце расширения). На самом деле данный файл был не изображением, а исполняемым файлом. Еще один любопытный момент — данный бэкдор имел второй метод распространения. А именно через торрент клиент Transmission. Да, тут нет ошибки. Это же приложение использовалось ранее для распространения шифровальщика Keranger.
Mokes — 2016
Бэкдор Mokes примечателен тем, что хоть его и обнаружили, отыскать точный вектор заражения не удалось. Были лишь предположения, что он распространялся через фишинговые письма по электронной почте.
Komplex — 2016
Распространялся по электронной почте в виде приложения замаскированного под pdf файл. При «открытии» этого приложения запускалась вредоносная нагрузка, но для маскировки также открывался и pdf документ. Основная функциональность сводится к тому, чтобы загружать другие файлы и выполнять команды. Таким образом этот вредонос скорее всего использовался для распространения других вредоносных программ. Первая часть бэкдора была обнаружена в 2016 году, а вторая, более функциональная часть, в 2017.
FakeFileOpener — 2016
Метод заражения достаточно старый. При попадании на специализированный сайт пользователю выводится сообщение о том, что его компьютер заражен и нужно скачать приложение, которое все подчистит.
На самом же деле скачивалось приложение MacFileOpener, которое регистрировало себя как обработчик большого количества типов файлов. В результате приложению не нужно было создавать какие-то демоны или придумывать что-то еще. Когда пользователь пытался открыть любой файл, для которого вредонос зарегистрировал себя, операционная система запускала зловред.
Приложения показывающие рекламу опасны не только и не столько самой рекламой. Они зачастую устанавливают в систему корневые сертификаты, благодаря которым могут просматривать зашифрованный трафик. А в трафике могут находиться пароли, данные кредитных карт, сессионные куки и другие секреты.
Статистика
Копаться в архивах новостей и разыскивать все вредоносное ПО — удовольствие сомнительное, поэтому ограничусь статистикой портала av-test.org. Согласно данным «разведки» под маки создаются тысячи вредоносов.
Вредные новинки
За первое полугодие 2019 появились новые вредоносы и были реанимированы некоторые старые.
Dok — 2017 -> 2019
Как и оригинальная версия, распространялся в виде zip архива по электронной почте. Внутри архива содержался установочный .pkg файл. При запуске пользователю выводилось фейковое сообщение, что мол пакет поврежден и не может быть запущен. Тем самым притупляя бдительность. Вредонос перехватывает трафик и через tor сеть отправляет данные злоумышленникам.
CookieMiner
В самом начале 2019 года появился CookieMiner. Он воровал куки от криптокошельков и пароли из Google Chrome. Помимо этого, в систему также устанавливается майнер криптовалюты и backdoor.
Специалисты утверждают, что CookieMiner либо основан, либо написан по мотивам DarthMiner, который появился в декабре 2018. DarthMiner распространялся под видом кряка для продуктов Adobe.
Lazarus Malware
Следующий вредонос связывают с организованной группой (APT) Lazarus, которые были нацелены на обменники криптовалют еще с 2018 года. Их бэкдор распространялся с помощью специального подготовленного документа Word. Внутри был VBA скрипт, который мог исполняться на Windows или macOS. И этот документ был далеко не единственным. Судя по названиям методов документ являлся частью долгоиграющей вредоносной кампании под названием Операция Трой (Operation Troy).
OSX.Siggen – фейковый WhatsApp c трояном
В апреле был обнаружен вредонос OSX.Siggen, который распространялся под видом приложения WhatsApp для компьютеров. Загружали его пользователи с домена message-whatsapp.com. Вредоносное приложение работает на версиях macOS начиная с 10.8, которая была выпущена в 2012 году. Чтобы скрыть от глаз пользователя приложение использует стандартный механизм отключения иконки в Доке (Dock). Будучи запущенным OSX.Siggen дает злоумышленникам удаленный доступ к компьютеру жертвы. Вероятно, зараженный компьютер становится частью ботнета.
OSX.Loudminer — кросс-платформенный майнер
Еще один пример того, что скачивать крякнутый софт бывает небезопасно. Данный вредонос имеет размер примерно 2.5 ГБ. Потому что распространяется вместе с крякнутой версией популярной аудио программы Ableton Live. В данном вредоносном приложении есть попытки скрыться “от преследования” — если на компьютере запущен Activity Monitor (показывает запущенные процессы и их активность), то скрипт приостанавливает свою деятельность на 15 минут. За оплошность установки вредоноса пользователь заплатит ресурсами своего железа, которое будет работать на благо злоумышленников.
KeyStealDaemon – воровство паролей через уязвимость
Информацию о том, как распространялся данный зловред я не нашел (а может и не искал). Но это не особо важно. Важно то, что данный зловред эксплуатировал уязвимость CVE-2019-8526, которая была найдена в феврале, а исправлена в марте. Уязвимость позволяет непривилегированному процессу прочитать защищенные хранилища паролей (KeyChain).
На virustotal зловред появился в июне и, судя по всему, в это время был активен. Но выполнять свою грязную работу мог только на системах без обновлений или использующих уже не поддерживаемые версии macOS, для которых исправления не было (и, вероятно, не будет). Да, в системах Apple тоже есть огрехи в безопасности и компания их регулярно исправляет. Поэтому ставить обновления надо не только на Windows.
OSX/Linker – уязвимость нулевого дня в действии
В конце мая один исследователь описал не исправленную уязвимость, которая позволяла обойти Gatekeeper, компонент системы, который проверяет достоверность приложений и запрещает запускать неподписанные. Об уязвимости он сообщил Apple в феврале, но компания не успела исправить ошибку в течение 90 дней (некий стандарт де-факто, хотя, например, Zero Day Initiative дает компании-разработчику 120 дней).
В середине июня злоумышленники взяли уязвимость на вооружение. Для активации зловреда пользователю нужно всего лишь смонтировать .dmg файл. Одна из первых приманок — фейковый инсталлятор плагина Adobe Flash Player (не знаю, кто до сих пор использует флеш и для чего. Если знаете, поделитесь в комментариях :)) Adobe Flash почему-то очень любят распространители рекламных вредоносов.
OSX/CrescentCore – Adware меняет свои приемы
Разработчики этого вредоноса пытались уберечь его от разоблачения. Для этого вредонос содержит внутри бандла два файла: один со списком ПО для виртуализации, другой — со списком антивирусов. Задумка была простая — если обнаружен антивирус из списка или приложение запущено внутри виртуальной машины, то принимать меры (например, не продолжать работу), чтобы не быть обнаруженным.
Вредоносная активность — запуск ненужных задач, открытые в браузере окон с рекламой или поддельными предупреждениями о заражении вирусами.
История болезни
Если проанализировать малварь можно выделить основные тенденции в заражении, выживании вредоносов и их целях.
Чаще всего заражение маков происходит при непосредственном участии пользователей. Для обмана применяются
- фейковые всплывающие окна
- пиратский софт (это могут быть как сами программы, так и кряки к ним)
- инфицированные вебсайты (чаще всего на них размещают уже зараженные всем известные программы)
Выживание
Некоторые вредоносные программы используют уникальные методы для своего запуска, например, ассоциация с расширениями файлов, чтобы быть вызванными при открытии файлов пользователем. Но чаще всего используется три способа
- Launchd демоны или сервисы (они запускаются при старте системы)
- расширения для браузеров
- приложения, загружающиеся при логине пользователя (Startup Item)
Цели
Основных целей у вредоносов всего две — деньги или данные. Получить все это можно прямым способом:
- (деньги) реклама, клики, выкуп
- (данные) файлы, переписка
либо пойти другим путем:
- (общие) логины, пароли, выполнение кода
Заключение
Очень часто вредоносы требуют от пользователя активности для своего запуска. По мнению Патрика Вардла (Patrick Wardle), это следствие того, что вредоносы для mac еще недостаточно развиты. Вне зависимости от того, как будет развиваться малварь для маков, я бы дал пользователям следующие рекомендации:
- Будьте бдительны, отбросьте стереотип о защищенности яблочных устройств.
- Периодически обновляйте софт — и операционную систему, и установленные приложения. Обновление — это всегда риск что-нибудь сломать, но и риск потерять время, деньги и данные тоже присутствует. Как вариант, обновляться через несколько недель, когда другие пользователи наступят на грабли. Но не затягивайте, а то может оказаться поздно.
- Не ставьте софт без необходимости. Лишний софт — дополнительная возможность для атаки, дополнительный способ подхватить заразу.
Спасибо за внимание. Всем здоровья и удачи! Добро пожаловать в комментарии.
Источник
