Calisto รุ่นก่อนของ MacOS Proton RAT ค้นพบใน VirusTotal

Security Global 24 ชม

ระหว่าง 2^ndและ 6^ธของเดือนพฤษภาคมก เบรกมือ ลิงก์มิเรอร์ดาวน์โหลดซอฟต์แวร์ (download.handbrake.fr) ถูกบุกรุกและนักพัฒนาได้โพสต์ไฟล์ คำเตือน แจ้งให้ทราบในวันที่ 6^ธของเดือนพฤษภาคมเพื่อแนะนำผู้ใช้ในการพิจารณาว่าระบบ MacOS ของพวกเขาติดไวรัส Proton Remote Access Trojan (RAT) หรือไม่ มีรายงานว่าประมาณ 50% ของการดาวน์โหลดทั้งหมดที่ดำเนินการในช่วงเวลานั้นส่งผลให้ระบบอุปกรณ์ติดไวรัส ตอนนี้นักวิจัยที่ Kaspersky ได้จัดการเพื่อสะดุดกับมัลแวร์ Proton RAT รุ่นก่อนซึ่งพวกเขาเชื่อว่าได้รับการพัฒนาขึ้นหนึ่งปีก่อน Proton เนื่องจากไม่มีความสามารถในการข้าม System Integrity Protection (SIP) ซึ่งต้องการข้อมูลประจำตัวของผู้ดูแลระบบสำหรับการแก้ไขไฟล์พื้นฐาน คุณลักษณะที่ได้รับการปรับปรุงในเวลานั้น นักวิจัยของ Kaspersky ได้ข้อสรุปว่า Calisto ถูกละทิ้งเพื่อสนับสนุน Proton เนื่องจากรหัสของ Calisto ไม่มีการขัดสี Calisto ถูกค้นพบเมื่อวันที่ VirusTotal และดูเหมือนว่าไวรัสจะยังคงอยู่ที่นั่นเป็นเวลาสองถึงสามปีโดยตรวจไม่พบจนถึงปัจจุบัน

Proton RAT เป็นมัลแวร์ที่อันตรายและทรงพลังที่เปิดตัวครั้งแรกในปลายปี 2559 โดยใช้ใบรับรองการเซ็นชื่อรหัสของ Apple ของแท้เพื่อจัดการระบบและเข้าถึงรูทในอุปกรณ์ MacOS มัลแวร์สามารถข้ามมาตรการรักษาความปลอดภัยทั้งหมดที่มีอยู่ได้รวมถึงการตรวจสอบสิทธิ์สองปัจจัยของ iCloud และการป้องกันความสมบูรณ์ของระบบเพื่อให้สามารถตรวจสอบกิจกรรมของคอมพิวเตอร์จากระยะไกลโดยบันทึกการกดแป้นพิมพ์เรียกใช้ป๊อปอัปที่ผิดพลาดเพื่อรวบรวมข้อมูลจับภาพหน้าจอดูทั้งหมดจากระยะไกล กิจกรรมบนหน้าจอการแยกไฟล์ข้อมูลที่สนใจและดูผู้ใช้ผ่านเว็บแคมของเขาหรือเธอ ดูเหมือนจะมีวิธีง่ายๆในการลบมัลแวร์เมื่อตรวจพบแล้ว แต่หากพบว่ามีการใช้งานอยู่ในระบบ (หากกระบวนการ“ Activity_agent” ปรากฏในแอปพลิเคชันการตรวจสอบกิจกรรมบนอุปกรณ์) ผู้ใช้สามารถมั่นใจได้ว่ามี จัดเก็บรหัสผ่านทั้งหมดและเข้าถึงข้อมูลใด ๆ ที่บันทึกไว้ในเบราว์เซอร์หรือพวงกุญแจของ Mac เอง ดังนั้นจึงขอให้ผู้ใช้เปลี่ยนอุปกรณ์เหล่านี้ในอุปกรณ์ที่สะอาดทันทีเพื่อหลีกเลี่ยงการสูญเสียข้อมูลทางการเงินและข้อมูลออนไลน์

สิ่งที่น่าสนใจที่สุดเกี่ยวกับ Proton RAT คือตามที่ New Jersey Cybersecurity and Communications Integration Cell (NJCCIC) ผู้สร้างมัลแวร์โฆษณาว่าเป็นซอฟต์แวร์ตรวจสอบสำหรับองค์กรต่างๆและแม้แต่ผู้ปกครองสำหรับใช้ในบ้านเพื่อตรวจสอบกิจกรรมดิจิทัลของบุตรหลาน ซอฟต์แวร์นี้มีป้ายราคาอยู่ระหว่าง 1,200 เหรียญสหรัฐถึง 820,000 เหรียญสหรัฐตามสิทธิ์การใช้งานและคุณสมบัติที่มอบให้สำหรับผู้ใช้ อย่างไรก็ตามคุณลักษณะ 'การตรวจสอบ' เหล่านี้ผิดกฎหมายและเนื่องจากแฮกเกอร์ได้รับโค้ดโปรแกรมจึงถูกส่งออกไปผ่านการดาวน์โหลดจำนวนมากภายใต้วิดีโอ YouTube พอร์ทัลเว็บที่ถูกบุกรุกซอฟต์แวร์ HandBrake (ในกรณีที่ HandBrake-1.0 7.dmg ถูกแทนที่ด้วยไฟล์ OSX.PROTON) และผ่านเว็บมืด แม้ว่าผู้ใช้จะไม่มีอะไรต้องกลัวกับ Calisto ตราบใดที่ SIP เปิดใช้งานและใช้งานได้ แต่นักวิจัยพบว่าความสามารถของรหัสในการจัดการระบบด้วยข้อมูลประจำตัวของ Apple ที่น่าตกใจและกลัวว่ามัลแวร์ในอนาคตจะสามารถใช้กลไกเดียวกันได้อย่างไร ในขั้นตอนนี้ Proton RAT จะถอดออกได้เมื่อตรวจพบ อย่างไรก็ตามการทำงานกับการจัดการใบรับรองขั้นพื้นฐานเดียวกันอย่างไรก็ตามมัลแวร์สามารถล็อกตัวเองกับระบบในฐานะตัวแทนถาวรได้ในไม่ช้า