Новая версия вредоносной программы CoinThief “научилась” заражать устройства на macOS, похищая у пользователей средства в криптовалютах биткоин, Ethereum и Litecoin. Об этом сообщается в блоге компании Symantec.
Вредоносная программа распространяется, используя уязвимость нулевого дня в браузерах [0day — термин, обозначающий неустраненные уязвимости, а также вредоносные программы, против которых еще не разработаны защитные механизмы].
Модифицированная версия CoinThief заражает пользователей Mac, используя 0-дневные уязвимости, связанные с JavaScript, в двух основных браузерах (Gecko — Mozilla, Webkit — Chrome, Safari, Opera) без какого-либо взаимодействия с пользователем.
Ранее CoinThief под macOS был обнаружен разработчиком антивирусного ПО SecureMac 12 февраля 2014 года. В то время вредоносное ПО распространялось через Github и сайты загрузки контента, такие как MacUpdate.com и Download.com.
16 ноября 2017 года специалисты производителя антивирусного ПО Symantec обнаружили новую версию CoinThief (v2), которая контролирует буфер обмена пользователя и идентифицирует его компьютер как “мишень для атак”, если копируется адрес кошелька любого типа. Компанией были проверены различные типы криптокошельков, в том числе для хранения биткоина, Ethereum, DASH, Litecoin, Monero, Namecoin и т. д. Было выявлено, что CoinThief глубоко внедряется в систему и, используя продвинутые механизмы, контролирует баланс кошельков с суммами свыше $1000.
Как отмечается на сайте Symantec, хакерам уже удалось похитить у пользователей 145 BTC, 214 ETH и 21 LTC. Потенциальными целями вредоносного ПО являются трейдеры и другие представители криптовалютного сообщества, однако компания рекомендует проверять компьютер на наличие заражения каждому из пользователей Mac, выполнив в терминале следующие команды:
- ls -al /Library/LaunchDaemons/com.cmtn.ctv2.plist
- ls -al / Library / PrivilegedHelperTools / ctv2
- ls -al /Library/Compositions/.userprofile
- ls -al /Library/Preferences/com.apple.SoftwareUpdate.plist
Если какой-либо из вышеперечисленных путей существует, то это означает, что система заражена.
Также вредоносная программа использует сложную технику под названием dylib hijacking, внедряя вредоносный код в предустановленные приложения, такие как iTunes. Другими словами, после удаления вредоносного ПО из вышеупомянутых путей CoinThief можно переустановить простым запуском iTunes.
Ранее сообщал, что многие пользователи устройств на macOS стали жертвой вируса-майнера DevilRobber.
