Attacco ai Mac con il trojan Proton: “se colpiti, reinstallate il sistema”

Ott 23, 2017 Marco Schiaffino Attacchi, Gestione dati, Hacking, In evidenza, Intrusione, Malware, Minacce, News, RSS, Trojan 0

I pirati hanno violato i server della software house Eltima. Chi ha scaricato Elmedia Player prima del 19 ottobre rischia di essere infetto.

Un’altra intrusione nei sistemi di un produttore software mette a rischio gli utenti Apple. La vittima è Eltima, sviluppatore di un software multimediale tra i più apprezzati dagli utenti Mac chiamato Elmedia Player.

Stando alla ricostruzione fatta dai ricercatori ESET, i cyber-criminali sarebbero riusciti a fare breccia nei sistemi di Eltima e avrebbero sostituito l’installer con una versione che include il trojan Proton.

Si tratta di un malware per computer con macOS che una volta installato sul dispositivo consente ai pirati di rubare un gran numero di informazioni.

Proton, nel dettaglio, punta a sottrarre le informazioni riguardanti le informazioni di sistema (numero di serie, utente, informazioni sul gateway e sulle applicazioni installate sulla macchina.

Il trojan, inoltre, trasmette ai server Command and Control le informazioni su eventuali wallet Bitcoin (Bitcoin COe, Electrum e Armory), i dati della keychain di macOS, quelli della configurazione VPN di Tunnelblick, un sistema open source e di GnuPG.

L’aspetto più preoccupante, però, è il fatto che i ricercatori di ESET considerano Proton come un malware estremamente difficile da rimuovere. Il loro consiglio, nel caso di infezione, è quello di “piallare” il computer e reinstallare il sistema da zero.

Difficile capire quale possa essere il numero di utenti a rischio. Come riporta ESET, Eltima ha reagito prontamente alla segnalazione (inviata il 19 ottobre) ripulendo i suoi server nel giro di una manciata di ore. Nel report, però, non si specifica quando sarebbe avvenuta l’intrusione e di conseguenza per quanto tempo sia stata in distribuzione la versione infetta dell’installer.

Un milione di utenti Mac usano Elmedia Player. Rimane da capire quanti lo abbiano installato nei giorni in cui portava con sé l’ospite indesiderato.

Le buone notizie riguardano il fatto che il trojan non era presente negli aggiornamenti ma solo nell’installer e che i più diffusi antivirus sono in grado di individuare Proton.

Considerata la (ancora diffusissima) brutta abitudine degli utenti Mac di non usare un antivirus, però, non è escluso che l’attacco abbia fatto numerose vittime.

Per capire se Proton è installato sulla macchina bisogna verificare l’eventuale presenza di alcuni file:

/tmp/Updater.app/

/Library/LaunchAgents/com.Eltima.UpdaterAgent.plist

/Library/.rand/

/Library/.rand/updateragent.app/

La loro presenza (anche di uno solo) è considerato un indizio della presenza del trojan sul sistema.

Chi ha scaricato il programma nei giorni immediatamente precedenti al 19 ottobre, quindi, farebbe bene ad avviare comunque una scansione con l’antivirus e a controllare l’eventuale presenza dei file di cui sopra.

Condividi l'articolo