תוכנה זדונית של Proxy Trojan

אתרים נוכלים הפועלים כפלטפורמות לתוכנות פיראטיות זוהו כמקור העיקרי של אפליקציות טרוניות שמדביקות משתמשי macOS בתוכנה זדונית חדשה מסוג Trojan-Proxy. תוכנה זדונית זו מאפשרת לתוקפים לייצר הכנסות על ידי הקמת רשת של שרתי פרוקסי או עיסוק בפעילויות לא חוקיות בשם הקורבן. פעילויות כאלה עשויות לכלול הפעלת התקפות על אתרי אינטרנט, חברות ואנשים פרטיים, כמו גם רכישת כלי נשק, סמים וחפצים בלתי חוקיים אחרים.

מומחים באבטחת סייבר חשפו ראיות המצביעות על כך שתוכנה זדונית זו מהווה איום חוצה פלטפורמות. זה מוכח על ידי חפצים שהתגלו עבור מערכות Windows וגם אנדרואיד, שהיו קשורים לכלים פיראטיים.

תוכנת ה-Trojan-Proxy Malware מסוגלת להדביק התקני macOS

גרסאות ה-macOS של הקמפיין התפשטו על ידי התחזות לכלי מולטימדיה לגיטימיים, עריכת תמונות, שחזור נתונים וכלי פרודוקטיביות. זה מצביע על כך שאנשים המחפשים תוכנה פיראטית הופכים למוקד ההתקפה. בניגוד לעמיתיהם האותנטיים, המופצים כקבצי תמונת דיסק (.DMG), הגרסאות המזויפות מסופקות כמתקיני PKG. מתקינים אלו כוללים סקריפט לאחר ההתקנה שמפעיל פעילויות זדוניות לאחר תהליך ההתקנה. מכיוון שמתקיני התקנה בדרך כלל מבקשים הרשאות מנהל, הסקריפט המופעל יורש את ההרשאות הללו.

המטרה הסופית של הקמפיין היא לשחרר את ה-Trojan-Proxy, שמתחזה לתהליך WindowServer ב-macOS כדי לחמוק מזיהוי. WindowServer משמש כתהליך מערכת בסיסי האחראי על ניהול Windows ועיבוד ממשק המשתמש הגרפי (GUI) של יישומים.

Trojan-Proxy מחכה בגניבה להוראות מהתוקפים

עם ביצוע במכשיר שנפרץ, התוכנה הזדונית שואפת להשיג את כתובת ה-IP של שרת ה-Command-and-Control (C2) לחיבור דרך DNS-over-HTTPS (DoH). הדבר מושג על ידי הצפנת בקשות ותגובות DNS באמצעות פרוטוקול HTTPS.

לאחר מכן, ה-Trojan-Proxy יוצר תקשורת עם שרת C2, ממתין להנחיות נוספות. הוא מעבד הודעות נכנסות כדי לחלץ מידע כגון כתובת ה-IP שאליה יש להתחבר, הפרוטוקול שיש להשתמש בו וההודעה לשידור. זה מסמל את יכולתו לתפקד כפרוקסי דרך TCP או UDP, להפנות תעבורה דרך המארח הנגוע.

בהתאם למידע שסיפקו החוקרים, ניתן לאתר את התוכנה הזדונית Trojan-Proxy כבר ב-28 באפריל 2023. כדי להתמודד עם איומים כאלה, מומלץ מאוד למשתמשים לנסות לא להוריד תוכנה ממקורות לא מהימנים.

ניתן לתכנת איומים טרויאניים לביצוע מגוון רחב של פעולות לא בטוחות

תוכנה זדונית טרויאנית מהווה מערך מגוון של סיכונים למשתמשים בשל האופי המתעתע והרב-גוני שלה. מומלץ מאוד למשתמשים ליישם גישת אבטחה מקיפה במכשירים שלהם או להסתכן בתוצאות משמעותיות במקרה של זיהום טרויאני:

• מטענים סמויים : סוסים טרויאניים מתחפשים לתוכנה או לקבצים לגיטימיים, ומערים על משתמשים להתקין בלי משים קוד זדוני. המטענים הסמויים עשויים לכלול תוכנות כופר, תוכנות ריגול, מפתחות או סוגים אחרים של תוכנות הרסניות.
• גניבת נתונים : סוסים טרויאנים שואפים לעתים קרובות לאסוף מידע מסוים, כולל אישורי כניסה, נתונים פיננסיים או פרטים אישיים. מידע שנאסף זה יכול להיות מנוצל למטרות לא בטוחות שונות, כולל גניבת זהות, הונאה פיננסית או גישה לא מורשית לחשבונות רגישים.
• גישה מרחוק : סוסים טרויאניים מסוימים מתוכננים להעניק גישה מרחוק בלתי מורשית לתוקף. לאחר פריסת הטרויאני, התוקף משיג שליטה על המערכת הנגועה, ומאפשר להם לתפעל קבצים, להתקין תוכנות זדוניות נוספות, או אפילו להשתמש במכשיר שנפגע בהתקפות בקנה מידה גדול יותר.
• יצירת רשתות בוט : סוסים טרויאניים יכולים לתרום ליצירת רשתות בוטים. Botnets הן רשתות של מחשבים מבולבלים הנשלטות על ידי ישות אחת. ניתן להפעיל רשתות בוטים אלו לפעילויות שונות שאינן בטוחות, כגון השקת התקפות מניעת שירות מבוזרות (DDoS), הפצת דואר זבל או השתתפות באיומי סייבר מתואמים אחרים.
• נזק למערכת : סוסים טרויאניים עשויים להיות מתוכנתים לגרום נזק ישיר למערכת של משתמש על ידי מחיקת קבצים, שינוי הגדרות או הפיכת המערכת לבלתי פעילה. זה יכול לגרום לאובדן נתונים משמעותי ולשבש פעילויות מחשוב רגילות.
• שירותי פרוקסי : סוסים טרויאניים מסוימים מתפקדים כשרתי פרוקסי, ומאפשרים לתוקפים לנתב את תעבורת האינטרנט שלהם דרך המערכת הנגועה. ניתן לנצל זאת לביצוע פעילויות זדוניות תוך הסתרת המקור האמיתי של ההתקפות, מה שמקשה על הרשויות לאתר את המקור.
• הפצת תוכנות זדוניות אחרות : סוסים טרויאניים משמשים לעתים קרובות ככלי להעברת סוגים אחרים של תוכנות זדוניות. ברגע שהם נכנסים למערכת, הם יכולים להוריד ולהתקין תוכנות זדוניות נוספות, מה שמוסיף את האיומים העומדים בפני המשתמש.

כדי לצמצם את הסיכונים הקשורים לתוכנות זדוניות טרויאניות, מומלץ למשתמשים להפעיל נוהלי אבטחת סייבר מוצקים, כולל שימוש בתוכנות אנטי-זדוניות מכובד, עדכוני מערכת רגילים, ונקיטת זהירות בעת הורדת קבצים או לחיצה על קישורים, במיוחד ממקורות לא מהימנים.