Новая версия вредоносной программы CoinThief “научилась” заражать устройства на macOS, похищая у пользователей средства в криптовалютах биткоин, Ethereum и Litecoin. Об этом сообщается на сайте symantecblog.com. Приведенный источник не является официальным ресурсом Symantec. В официальном блоге и twitter-аккаунте компании отсутствует информация об этом вирусе.
Вредоносная программа распространяется, используя уязвимость нулевого дня в браузерах [0day — термин, обозначающий неустраненные уязвимости, а также вредоносные программы, против которых еще не разработаны защитные механизмы].
Модифицированная версия CoinThief заражает пользователей Mac, используя 0-дневные уязвимости, связанные с JavaScript, в двух основных браузерах (Gecko — Mozilla, Webkit — Chrome, Safari, Opera) без какого-либо взаимодействия с пользователем.
Ранее CoinThief под macOS был обнаружен разработчиком антивирусного ПО SecureMac 12 февраля 2014 года. В то время вредоносное ПО распространялось через Github и сайты загрузки контента, такие как MacUpdate.com и Download.com.
16 ноября 2017 года специалисты производителя антивирусного ПО Symantec обнаружили новую версию CoinThief (v2), которая контролирует буфер обмена пользователя и идентифицирует его компьютер как “мишень для атак”, если копируется адрес кошелька любого типа. Компанией были проверены различные типы криптокошельков, в том числе для хранения биткоина, Ethereum, dash, Litecoin, Monero, Namecoin и т. д. Было выявлено, что CoinThief глубоко внедряется в систему и, используя продвинутые механизмы, контролирует баланс кошельков с суммами свыше $1000.
Как отмечается на сайте Symantec, хакерам уже удалось похитить у пользователей 145 btc, 214 ETH и 21 ltc. Потенциальными целями вредоносного ПО являются трейдеры и другие представители криптовалютного сообщества, однако компания рекомендует проверять компьютер на наличие заражения каждому из пользователей Mac, выполнив в терминале следующие команды:
- ls -al /Library/LaunchDaemons/com.cmtn.ctv2.plist
- ls -al / Library / PrivilegedHelperTools / ctv2
- ls -al /Library/Compositions/.userprofile
- ls -al /Library/Preferences/com.apple.SoftwareUpdate.plist
Если какой-либо из вышеперечисленных путей существует, то это означает, что система заражена.
Также вредоносная программа использует сложную технику под названием dylib hijacking, внедряя вредоносный код в предустановленные приложения, такие как iTunes. Другими словами, после удаления вредоносного ПО из вышеупомянутых путей CoinThief можно переустановить простым запуском iTunes.