Trojan-Proxy Malware

Slyngelske websteder, der fungerer som platforme for piratkopieret software, er blevet identificeret som den primære kilde til trojanske apps, der inficerer macOS-brugere med en ny Trojan-Proxy-malware. Denne malware gør det muligt for angribere at generere indtægter ved at etablere et netværk af proxy-servere eller deltage i ulovlige aktiviteter på vegne af offeret. Sådanne aktiviteter kan omfatte lancering af angreb på websteder, virksomheder og enkeltpersoner, samt køb af skydevåben, stoffer og andre ulovlige genstande.

Eksperter i cybersikkerhed har afsløret beviser, der tyder på, at denne malware udgør en trussel på tværs af platforme. Dette underbygges af artefakter opdaget for både Windows- og Android-systemer, som var forbundet med piratkopierede værktøjer.

Trojan-Proxy Malware er i stand til at inficere macOS-enheder

MacOS-varianterne af kampagnen spredes ved at udgive sig som legitime multimedie-, billedredigerings-, datagendannelses- og produktivitetsværktøjer. Dette indikerer, at personer, der søger piratkopieret software, bliver omdrejningspunktet for angrebet. I modsætning til deres autentiske modparter, som distribueres som diskimage-filer (.DMG), leveres de forfalskede versioner som .PKG-installatører. Disse installationsprogrammer inkluderer et post-install script, der udløser ondsindede aktiviteter efter installationsprocessen. Da installatører typisk anmoder om administratortilladelser, arver det udførte script disse tilladelser.

Kampagnens ultimative mål er at frigive den trojanske proxy, der forklæder sig som WindowServer-processen på macOS for at undgå registrering. WindowServer fungerer som en grundlæggende systemproces, der er ansvarlig for at administrere Windows og gengive den grafiske brugergrænseflade (GUI) af applikationer.

Trojan-proxy venter snigende på instruktioner fra angriberne

Ved udførelse på den kompromitterede enhed bestræber malwaren sig på at erhverve IP-adressen på Command-and-Control (C2) serveren til forbindelse via DNS-over-HTTPS (DoH). Dette opnås ved at kryptere DNS-anmodninger og -svar ved hjælp af HTTPS-protokollen.

Efterfølgende etablerer Trojan-Proxy'en kommunikation med C2-serveren og afventer yderligere instruktioner. Den behandler indgående meddelelser for at udtrække information såsom IP-adressen, der skal oprettes forbindelse til, protokollen, der skal anvendes, og meddelelsen, der skal sendes. Dette betyder dets evne til at fungere som en proxy gennem TCP eller UDP, der omdirigerer trafik gennem den inficerede vært.

Ifølge oplysningerne fra forskere kan Trojan-Proxy-malwaren spores tilbage til så tidligt som den 28. april 2023. For at imødegå sådanne trusler rådes brugere kraftigt til ikke at downloade software fra upålidelige kilder.

Trojanske trusler kan programmeres til at udføre en lang række usikre handlinger

Trojansk malware udgør en række forskellige risici for brugerne på grund af dens vildledende og mangefacetterede natur. Brugere rådes kraftigt til at implementere en omfattende sikkerhedstilgang på deres enheder eller risikere at lide betydelige konsekvenser i tilfælde af en trojansk infektion:

• Skjult nyttelast : Trojanske heste forklæder sig som legitim software eller filer, og narre brugere til uforvarende at installere ondsindet kode. De skjulte nyttelaster kan omfatte ransomware, spyware, keyloggere eller andre typer destruktiv software.
• Datatyveri : Trojanske heste har ofte til formål at indsamle bestemte oplysninger, herunder loginoplysninger, økonomiske data eller personlige oplysninger. Disse indsamlede oplysninger kan udnyttes til forskellige usikre formål, herunder identitetstyveri, økonomisk bedrageri eller uautoriseret adgang til følsomme konti.
• Fjernadgang : Nogle trojanske heste er designet til at give uautoriseret fjernadgang til en angriber. Når trojaneren er installeret, får angriberen kontrol over det inficerede system, hvilket giver dem mulighed for at manipulere filer, installere yderligere malware eller endda bruge den kompromitterede enhed i større angreb.
• Botnet-dannelse : Trojanske heste kan bidrage til oprettelsen af botnets. Botnets er netværk af manipulerede computere styret af en enkelt enhed. Disse botnets kan bruges til forskellige usikre aktiviteter, såsom lancering af DDoS-angreb (Distributed Denial-of-Service), spredning af spam eller deltagelse i andre koordinerede cybertrusler.
• Systemskade : Trojanske heste kan være programmeret til at forårsage direkte skade på en brugers system ved at slette filer, ændre indstillinger eller gøre systemet ubrugeligt. Dette kan resultere i betydeligt datatab og forstyrre normale computeraktiviteter.
• Proxytjenester : Visse trojanske heste fungerer som proxyservere, hvilket gør det muligt for angribere at dirigere deres internettrafik gennem det inficerede system. Dette kan udnyttes til at udføre ondsindede aktiviteter, mens den sande kilde til angrebene skjules, hvilket gør det udfordrende for myndighederne at spore oprindelsen.
• Udbredelse af anden malware : Trojanske heste tjener ofte som midler til at levere andre typer malware. Når de først er inde i et system, kan de downloade og installere yderligere ondsindet software, hvilket forstærker de trusler, som brugeren står over for.

For at mindske de risici, der er forbundet med trojansk malware, rådes brugerne til at anvende robuste cybersikkerhedspraksisser, herunder brug af velrenommeret anti-malware-software, regelmæssige systemopdateringer og udviser forsigtighed, når de downloader filer eller klikker på links, især fra upålidelige kilder.