Ventir De Nieuwe Backdoor Trojan voor OS X

Onderzoekers met de Russische multinationale beveiligingsbedrijf Kaspersky hebben ontdekt dat er een nieuwe OS X-malware, dubbed Ventir. Naar verluidt is een keylogger bevat, een Trojan, en een backdoor die de hackers toelaat om op de toegang tot gecompromitteerde machines houden. Naar verluidt, Ventir wordt opgesteld naast de meest geavanceerde computer malware, die alleen kan suggereren dat hackers nu gericht Macs meer en meer. OS X gebruikt worden onaangetast door oplichters in het verleden, maar als de marktwaarde van de producten van Apple steeg, de aandacht van de cybercriminelen werd ze getekend.

Wat doet Ventir Do?

Als Ventir infiltreert de beoogde machine, de druppelaar component van het Trojaanse paard probeert om vast te stellen als het root-toegang tot de geïnfecteerde PC. Dit is van zeer veel belang aan het proces van installatie van de malware. In het geval dat het erin slaagt om root-toegang te krijgen, Ventir kan veel meer kwaad doen om de getroffen machine. Daarom computergebruikers, zowel Windows als Mac, worden aanbevolen om te voorkomen dat met behulp van de beheerder-bevoorrechte accounts als ze surfen op het web.
De keylogging component van de nieuwe malware stuk is in staat om elke toets die wordt op de pc van het slachtoffer wordt ingedrukt aanmelden en stuur de logs naar de makers van de malware. Op deze manier de cyber-criminelen kunnen hun handen op de e-mailadressen, wachtwoorden, zoekvragen, browsegeschiedenis, contacten, etc.

Ventir Betrokken bij gegevensdiefstal Campagnes?

Onderzoekers geloven dat Ventir kunnen zijn gebruikt in gegevensdiefstal campagnes onlangs. Zij associëren de malware van dezelfde familie als Ventir met de huidige lekkage van de geloofsbrieven van Gmail, Mail.ru en Yandex.
Kernel extensie van de malware de keylogger is open-source code die beschikbaar is op GitHub gratis, die volgens de security experts maakt het makkelijker voor de hackers om nieuwe malware-versies maken. Gebruikers mogen alleen verwachten dat de hoeveelheid Trojan-Spy's te verhogen in de functie.

Kaspersky noemt de volgende kenmerken van Ventir

Zodra deze wordt gelanceerd, de druppelaar controleert of het heeft root-toegang door te bellen naar het geteuid () functie. Het resultaat van de controle bepaalt waar de Trojan bestanden worden geïnstalleerd:

• Als het root-toegang, de bestanden in /Library/.local en / Library / LaunchDaemons worden geïnstalleerd;
• Als het root-toegang niet heeft, de bestanden in ~ / Library / .local en ~ / Library / LaunchAgents worden geïnstalleerd ("~" Staat voor het pad naar de huidige gebruiker home directory).
• Alle bestanden van de Trojan te downloaden om het slachtoffer machine worden in eerste instantie zich in het "__data" van de druppelaar bestand.

Supportmedewerkers spionage component wordt alleen gebruikt als verhoogde privileges niet worden verkregen. "Vlak voor het verwerken van een toetsaanslag, de malware is bepalend voor de naam van het proces waarvan het venster op dit moment actief,"Zegt Kuzin in een blogpost.

Dientengevolge, de volgende bestanden op de geïnfecteerde systeem worden geïnstalleerd:

• Bibliotheek / .local / bijgewerkt - relanceert bestanden updaten en supportmedewerkers in geval van onverwachte beëindiging.
• Bibliotheek / .local / reweb - gebruikt om opnieuw te lanceren het bestand bijgewerkt.
• Bibliotheek / .local / update - de achterdeur module.
• Bibliotheek / .local / libweb.db - databasebestand het schadelijke programma's. Aanvankelijk bevat de algemene instellingen van de Trojan, zoals C&C-mailadres.
• Bibliotheek / LaunchAgents (of LaunchDaemons)/com.updated.launchagent.plist - de eigenschappen bestand dat wordt gebruikt om het bestand Library set / .local / bijgewerkt om autorun met behulp van de launchd daemon.

Afhankelijk van of root-toegang is beschikbaar:

Een) als het - /Library/.local/kext.tar. De volgende bestanden worden uitgepakt uit het archief:

• updated.kext - de bestuurder die gebruiker toetsaanslagen slim
• Keymap.plist - de kaart die overeenkomt met de code van de ingedrukte toetsen door de gebruiker de karakters geassocieerd met deze code;
• Supportmedewerkers - de agent die toetsaanslagen evenals bepaalde systeem gebeurtenissen op het volgende bestand logt: Bibliotheek / .local / .logfile.

B) indien deze niet - ~ / Library / .local / supportmedewerkers. Dit is de agent dat de huidige actieve venster naam en de toetsaanslagen in het volgende bestand logt: Bibliotheek / .local / .logfile.

Wat de experts suggereren om uw systeem te beschermen tegen deze en een aantal andere kwaadaardige software is om zich niet aanmelden met beheerdersrechten als gewoon surfen op het internet of met behulp van programma's die niet nodig hebben.