Trojas starpniekservera ļaunprātīga programmatūra

Negodīgas vietnes, kas darbojas kā pirātiskas programmatūras platformas, ir identificētas kā galvenais avots trojāniskām lietotnēm, kas inficē MacOS lietotājus ar jaunu Trojan-Proxy ļaunprātīgu programmatūru. Šī ļaunprogrammatūra ļauj uzbrucējiem gūt ieņēmumus, izveidojot starpniekserveru tīklu vai iesaistoties nelikumīgās darbībās upura vārdā. Šādas darbības var ietvert uzbrukumu uzsākšanu vietnēm, uzņēmumiem un privātpersonām, kā arī šaujamieroču, narkotiku un citu nelegālu priekšmetu iegādi.

Kiberdrošības eksperti ir atklājuši pierādījumus, kas liecina, ka šī ļaunprogrammatūra rada starpplatformu draudus. To pamato artefakti, kas atklāti gan Windows, gan Android sistēmām, kas bija saistīti ar pirātiskiem rīkiem.

Trojas starpniekservera ļaunprātīgā programmatūra spēj inficēt macOS ierīces

Kampaņas macOS varianti izplatās, maskējoties kā likumīgi multivides, attēlu rediģēšanas, datu atkopšanas un produktivitātes rīki. Tas norāda, ka personas, kas meklē pirātisku programmatūru, kļūst par uzbrukuma centrālo punktu. Atšķirībā no autentiskajiem līdziniekiem, kas tiek izplatīti kā diska attēla (.DMG) faili, viltotās versijas tiek piegādātas kā .PKG instalētāji. Šie instalētāji ietver pēcinstalēšanas skriptu, kas aktivizē ļaunprātīgas darbības pēc instalēšanas procesa. Tā kā instalētāji parasti pieprasa administratora atļaujas, izpildītais skripts pārmanto šīs atļaujas.

Kampaņas galvenais mērķis ir atbrīvot Trojas starpniekserveri, kas maskējas kā Windows Server process operētājsistēmā MacOS, lai izvairītos no atklāšanas. WindowServer kalpo kā pamata sistēmas process, kas atbild par Windows pārvaldību un lietojumprogrammu grafiskā lietotāja interfeisa (GUI) renderēšanu.

Trojas starpniekserveris slēpti gaida norādījumus no uzbrucējiem

Pēc izpildes uzlauztajā ierīcē ļaunprogrammatūra cenšas iegūt Command-and-Control (C2) servera IP adresi savienojuma izveidei, izmantojot DNS-over-HTTPS (DoH). Tas tiek panākts, šifrējot DNS pieprasījumus un atbildes, izmantojot HTTPS protokolu.

Pēc tam Trojas starpniekserveris izveido saziņu ar C2 serveri, gaidot papildu norādījumus. Tas apstrādā ienākošos ziņojumus, lai iegūtu informāciju, piemēram, IP adresi, ar kuru izveidot savienojumu, izmantoto protokolu un pārsūtāmo ziņojumu. Tas nozīmē tā spēju darboties kā starpniekserveris, izmantojot TCP vai UDP, novirzot trafiku caur inficēto resursdatoru.

Saskaņā ar pētnieku sniegto informāciju Trojan-Proxy ļaunprogrammatūru var izsekot jau 2023. gada 28. aprīlī. Lai novērstu šādus draudus, lietotājiem ļoti ieteicams mēģināt nelejupielādēt programmatūru no neuzticamiem avotiem.

Trojas draudus var ieprogrammēt, lai veiktu plašu nedrošu darbību klāstu

Trojas ļaundabīgā programmatūra tās maldinošā un daudzpusīgā rakstura dēļ lietotājiem rada dažādus riskus. Lietotājiem ir ļoti ieteicams savās ierīcēs ieviest visaptverošu drošības pieeju, pretējā gadījumā Trojas infekcijas gadījumā var rasties nopietnas sekas:

• Slēptās derīgās slodzes : Trojas zirgi maskējas kā likumīga programmatūra vai faili, mānoties lietotājiem netīši instalēt ļaunprātīgu kodu. Slēptās derīgās slodzes var ietvert izspiedējprogrammatūru, spiegprogrammatūru, taustiņu bloķētājus vai cita veida destruktīvu programmatūru.
• Datu zādzība : Trojas zirgu mērķis bieži ir iegūt noteiktu informāciju, tostarp pieteikšanās akreditācijas datus, finanšu datus vai personas datus. Šo savākto informāciju var izmantot dažādiem nedrošiem mērķiem, tostarp identitātes zādzībai, finanšu krāpšanai vai nesankcionētai piekļuvei sensitīviem kontiem.
• Attālā piekļuve : daži Trojas zirgi ir paredzēti, lai uzbrucējam nodrošinātu neatļautu attālo piekļuvi. Kad Trojas zirgs ir izvietots, uzbrucējs iegūst kontroli pār inficēto sistēmu, ļaujot viņam manipulēt ar failiem, instalēt papildu ļaunprātīgu programmatūru vai pat izmantot apdraudēto ierīci lielāka mēroga uzbrukumos.
• Bottīklu veidošana : Trojas zirgi var veicināt robottīklu izveidi. Bottīkli ir bojātu datoru tīkli, kurus kontrolē viena vienība. Šos robottīklus var izmantot dažādām nedrošām darbībām, piemēram, DDoS (Distributed Denial-of-Service) uzbrukumu uzsākšanai, surogātpasta izplatīšanai vai dalībai citos koordinētos kiberdraudos.
• Sistēmas bojājumi : Trojas zirgi var tikt ieprogrammēti tā, lai tie radītu tiešu kaitējumu lietotāja sistēmai, dzēšot failus, mainot iestatījumus vai padarot sistēmu nederīgu. Tas var izraisīt ievērojamus datu zudumus un traucēt normālas skaitļošanas darbības.
• Starpniekservera pakalpojumi : daži Trojas zirgi darbojas kā starpniekserveri, ļaujot uzbrucējiem novirzīt savu interneta trafiku caur inficēto sistēmu. To var izmantot, lai veiktu ļaunprātīgas darbības, vienlaikus slēpjot patieso uzbrukumu avotu, tādējādi iestādēm ir grūti izsekot izcelsmi.
• Citas ļaunprātīgas programmatūras izplatība : Trojas zirgi bieži kalpo kā transportlīdzekļi cita veida ļaunprātīgas programmatūras piegādei. Nokļūstot sistēmā, viņi var lejupielādēt un instalēt papildu ļaunprātīgu programmatūru, tādējādi pastiprinot apdraudējumus, ar kuriem saskaras lietotājs.

Lai mazinātu riskus, kas saistīti ar Trojas ļaunprātīgu programmatūru, lietotājiem ieteicams izmantot spēcīgu kiberdrošības praksi, tostarp izmantot cienījamu pretļaunprātīgo programmatūru, regulāri atjaunināt sistēmas un ievērot piesardzību, lejupielādējot failus vai noklikšķinot uz saitēm, īpaši no neuzticamiem avotiem.