Команда безопасности Microsoft опубликовала статью, в которой рассказывается о новое вредоносное ПО для Mac которая эволюционировала за последний год, чтобы предложить злоумышленникам увеличение прогрессии сложных возможностей.
Семейство вредоносных программ, получившее название UpdateAgent от группы аналитики угроз Microsoft 365 Defender, впервые появилось в сентябре 2020 г. С тех пор его работа изменилась, превратившись из простого сборщика информации в часть вредоносного ПО, которое может доставлять другие вредоносные программы.
UpdateAgent может заражать компьютеры Mac пользователей с помощью таких векторов, как попутные загрузки или всплывающая реклама. В большинстве случаев он представлен как законная часть программного обеспечения, например видео приложение или агент поддержки (к чему пользователи Windows очень привыкли).
Некоторые функции вредоносных программ позволяют обойти контроль безопасности Apple Gatekeeper или используйте существующие разрешения, чтобы удалить доказательства его существования на Mac.
В августе 2021 года в него была добавлена новая возможность ввести код постоянный, который можно запустить от имени пользователя root в невидимом фоновом процессе.
Это вредоносное ПО использует общедоступную облачную инфраструктуру таких как Amazon S3 или CloudFront, для доставки полезной нагрузки второго этапа в виде файлов .dmg или .zip.
Согласно Microsoft относительно этого нового вредоносного ПО:
UpdateAgent характеризуется постепенным обновлением методов сохраняемости — ключевой особенностью, указывающей на то, что этот троянец, скорее всего, продолжит использовать более сложные методы в будущих версиях.
Доверяйте только авторизованным приложениям
UpdateAgent имеет одну ключевую слабость по сравнению с другими угрозами для Mac: требует, чтобы пользователь явно загрузил вредоносный файл.
Если мы не хотим быть заражены этой вредоносной программой, рекомендуется устанавливать приложения только от разработчиков, которым вы доверяете, из Apple и Mac App Store. Не нажимайте на рекламу и не загружайте какое-либо приложение по ссылке.
