MacOS Proton RAT's voorganger Calisto ontdekt op VirusTotal

Beveiliging wereldwijd 24 uur per dag

Tussen de 2^nden 6^thvan mei, a Handrem software download mirror link (download.handbrake.fr) is gecompromitteerd en de ontwikkelaars hebben een waarschuwing kennisgeving op de 6^thvan mei om gebruikers te begeleiden bij het bepalen of hun MacOS-systemen zijn geïnfecteerd met de beruchte Proton Remote Access Trojan (RAT). Er werd gemeld dat ongeveer 50% van alle downloads die in die periode werden uitgevoerd, resulteerden in geïnfecteerde apparaatsystemen. Nu, onderzoekers van Kaspersky zijn erin geslaagd om een ​​voorganger van de Proton RAT-malware, Calisto, tegen te komen, die volgens hen een jaar voor Proton is ontwikkeld, omdat het niet de mogelijkheid had om System Integrity Protection (SIP) te omzeilen, dat beheerdersreferenties vereist voor het bewerken van fundamentele bestanden, een functie die op dat moment werd verbeterd. Kaspersky's onderzoekers hebben geconcludeerd dat Calisto werd verlaten ten gunste van Proton, omdat de code van Calisto ongepolijst leek. Calisto werd ontdekt op VirusTotaal , en het lijkt erop dat het virus daar twee tot drie jaar bleef en tot nu toe niet werd ontdekt.

De Proton RAT is een gevaarlijke en krachtige malware die voor het eerst werd uitgebracht eind 2016 en die echte Apple-certificaten voor codeondertekening gebruikt om het systeem te manipuleren en root-toegang te krijgen op MacOS-apparaten. De malware kan alle veiligheidsmaatregelen omzeilen, inclusief iCloud's tweefactorauthenticatie en de systeemintegriteitsbescherming, zodat het computeractiviteit op afstand kan volgen door toetsaanslagen te loggen, valse pop-ups uit te voeren om informatie te verzamelen, schermafbeeldingen te maken en alles op afstand te bekijken. de activiteit op het scherm, het extraheren van relevante gegevensbestanden en het bekijken van de gebruiker via zijn of haar webcam. Er lijkt een eenvoudige manier te zijn om de malware te verwijderen nadat deze is gedetecteerd, maar als blijkt dat deze actief is geweest op het systeem (als het proces 'Activity_agent' verschijnt in de Activity Monitor-applicatie op het apparaat), kunnen gebruikers er zeker van zijn dat al hun wachtwoorden op en toegang tot alle gegevens die waren opgeslagen in browsers of de eigen sleutelhanger van Mac. Daarom wordt gebruikers gevraagd om ze onmiddellijk op een schoon apparaat te wijzigen om te voorkomen dat hun financiële en online gegevens in gevaar komen.

Het meest interessante aan de Proton RAT is dat, volgens de New Jersey Cybersecurity and Communications Integration Cell (NJCCIC) , adverteerde de maker van de malware het als controlesoftware voor bedrijven en zelfs ouders voor het thuisgebruik van de digitale activiteiten van hun kinderen. Deze software droeg een prijskaartje tussen $ 1.200 en $ 820.000, afhankelijk van de licenties en functies die aan de gebruiker waren verleend. Deze 'monitoring' -functies waren echter illegaal en toen hackers de code in handen kregen, werd het programma verzonden via vele downloads onder YouTube-video's, gecompromitteerde webportals, de HandBrake-software (in het geval waarvan de HandBrake-1.0. 7. dmg is vervangen door een OSX.PROTON-bestand) en via het dark web. Hoewel gebruikers met Calisto niets te vrezen hebben, zolang hun SIP is ingeschakeld en werkt, vinden onderzoekers het vermogen van de code om het systeem te manipuleren met authentieke Apple-inloggegevens alarmerend en vrezen ze wat toekomstige malware zou kunnen doen met hetzelfde mechanisme. In dit stadium kan de Proton RAT na detectie worden verwijderd. Door aan dezelfde fundamentele certificaatmanipulatie te werken, zou de malware zich echter snel als een permanente agent aan systemen kunnen vastklampen.