Malware per Mac punta a rubare le credenziali degli utenti

Lug 07, 2016 Marco Schiaffino Malware, Minacce, Minacce, News, Trojan 0

Il trojan comunica con un server C&C attraverso il circuito Tor ed è programmato per rubare le credenziali contenute nell’Apple Keychain delle vittime.

Si chiama Keydnap e mette in atto una complicata tecnica di installazione che punta a ingannare gli utenti Mac per acquisire l’accesso al sistema operativo senza farsi troppo notare.

A isolare il malware sono stati i ricercatori di Eset, che tuttavia non hanno potuto identificare con precisione le tecniche usate dai cyber-criminali per diffonderlo. Le ipotesi comprendono l’uso di messaggi di posta elettronica o siti Web compromessi. Gli stratagemmi messi in atto dagli autori di Keydnap, però, fanno pensare all’uso di sofisticate tecniche di ingegneria sociale.

L’eseguibile che scarica il malware si presenta sotto forma di un archivio compresso in formato ZIP, al cui interno è contenuto un file dall’aspetto innocuo. Il nome del file, infatti, è confezionato in modo da visualizzare apparentemente un’estensione “innocua” come JPEG o TXT.

In realtà l’estensione è seguita da uno spazio, in modo che un doppio clic sul file ne provochi l’apertura nel terminale. Per rendere ancora più credibile il “camuffamento”, gli autori di Keydnap hanno inserito nell’archivio un resource fork con l’icona corrispondente all’estensione apparentemente visualizzata.

Se Gatekeeper è attivo, naturalmente, il file non verrà eseguito e verrà visualizzato un messaggio di avviso che informa l’utente del fatto che mancano le informazioni riguardanti lo sviluppatore del programma.

L’apertura dell’eseguibile viene bloccata nel caso in cui Gatekeeper è attivo.

In caso contrario, però, l’eseguibile avvia il download e l’installazione di Keydnap, cercando contemporaneamente di coprirne al meglio le tracce.

A questo scopo scarica un falso documento corrispondente al nome del file visualizzato nell’archivio compresso, cancellando nello stesso tempo il codice dell’eseguibile originale.

La vittima, quindi, si troverà di fronte un’immagine o un documento di testo corrispondente a ciò che pensava fosse contenuto nello ZIP e non sospetterà nulla.

In realtà, a questo punto, Keydnap è già in azione. Il malware crea una backdoor con privilegi di amministratore che comunica con un server Command and Control attraverso il circuito Tor.

Gli autori di Keydnap hanno a questo punto la possibilità di controllare il funzionamento del malware, avviando per esempio il download e l’installazione di applicazioni in remoto.

Tra le funzioni programmate del trojan, però, ce n’è una che analizza il sistema per copiare e trasmettere via Internet le credenziali contenute nell’Apple Keychain, che sembra essere l’obiettivo principale dei pirati.

Condividi l'articolo