Precaución usuarios de Mac: Nuevo Malware Troyano-Proxy se Propaga a Través de Software Pirata
Se ha descubierto que sitios web no autorizados que distribuyen versiones troyanizadas de software crackeado infectan a usuarios de Apple macOS con un nuevo malware troyano-proxy.
"Los atacantes pueden utilizar este tipo de malware para obtener dinero construyendo una red de servidores proxy o para realizar actos criminales en nombre de la víctima: lanzar ataques a sitios web, empresas e individuos, comprar armas, drogas y otros bienes ilícitos", dijo Sergey Puzan, investigador de seguridad de Kaspersky.
La firma rusa de ciberseguridad indicó que encontró evidencia que sugiere que el malware es una amenaza multiplataforma, debido a artefactos descubiertos para Windows y Android que se asociaron con herramientas pirateadas.
Las variantes de macOS se propagan bajo la apariencia de herramientas legítimas de multimedia, edición de imágenes, recuperación de datos y productividad. Esto sugiere que los usuarios que buscan software pirateado son los objetivos de la campaña.
A diferencia de sus contrapartes genuinas e inalteradas, que se ofrecen como archivos de imagen de disco (.DMG), las versiones falsas se entregan en forma de instaladores .PKG, que cuentan con un script de postinstalación que activa el comportamiento malicioso después de la instalación.
"Como un instalador a menudo solicita permisos de administrador para funcionar, el script ejecutado por el proceso de instalación hereda esos permisos", señaló Puzan.
El objetivo final de la campaña es lanzar el troyano-proxy, que se disfraza como el proceso WindowServer en macOS para evadir la detección. WindowServer es un proceso central del sistema responsable de la gestión de ventanas y de renderizar la interfaz gráfica de usuario (GUI) de las aplicaciones.
Al iniciarse, intenta obtener la dirección IP del servidor de comando y control (C2) al que conectarse a través de DNS-over-HTTPS (DoH) mediante la encriptación de las solicitudes DNS y las respuestas utilizando el protocolo HTTPS.
Posteriormente, el troyano-proxy establece contacto con el servidor C2 y espera instrucciones adicionales, incluido el procesamiento de mensajes entrantes para analizar la dirección IP a la que conectarse, el protocolo a utilizar y el mensaje a enviar, indicando su capacidad para actuar como un proxy a través de TCP o UDP para redirigir el tráfico a través del host infectado.
Kaspersky dijo que encontró muestras del malware cargadas en el motor de análisis VirusTotal tan temprano como el 28 de abril de 2023. Para mitigar tales amenazas, se recomienda a los usuarios evitar descargar software de fuentes no confiables.
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.
Comentarios
Publicar un comentario