Ventir The New Backdoor Trojan para Mac OS X

Pesquisadores com a empresa de segurança multi-nacional russa Kaspersky descobriram um novo OS X malwares, apelidado Ventir. Consta que ele contém um keylogger, um Trojan, e um backdoor que permite a hackers para manter sobre o acesso a máquinas comprometidas. Alegadamente, Ventir está alinhado ao lado do malware de computador mais sofisticado, o que só pode sugerir que os hackers agora estão visando Macs cada vez mais. O OS X costumava ser intocado por bandidos no passado, mas à medida que o valor de mercado dos produtos Apple aumentava, a atenção dos cibercriminosos os atraiu.

O que o Ventir faz?

À medida que o Ventir se infiltra na máquina alvo, o componente dropper do Trojan tenta estabelecer se ele tem acesso root ao PC comprometido. Isso é da maior importância para o processo de instalação do malware. Caso consiga obter acesso root, Ventir pode causar muito mais danos à máquina afetada. É por isso que os usuários de computador, tanto Windows quanto Mac, são recomendados para evitar o uso de contas com privilégios de administrador ao navegar na Web.
O componente keylogging do novo malware é capaz de registrar todas as teclas que estão sendo pressionadas no PC da vítima e enviar os logs para os criadores do malware. Desta forma, os cibercriminosos podem colocar as mãos em endereços de e-mail, senhas, consultas de pesquisa, histórico de navegação, Contatos, etc.

Ventir envolvido em campanhas de roubo de dados?

Pesquisadores acreditam que Ventir pode ter sido usado em campanhas de roubo de dados recentemente. Eles associam o malware da mesma família do Ventir aos vazamentos atuais de credenciais do Gmail, Mail.ru e Yandex.
A extensão do kernel do keylogger do malware é um código-fonte aberto que está disponível gratuitamente no GitHub, que de acordo com os especialistas em segurança torna mais fácil para os hackers criarem novas versões de malware. Os usuários devem esperar apenas que a quantidade de programas Trojan-Spy aumente no recurso.

Kaspersky lista os seguintes recursos do Ventir

Assim que for lançado, o dropper verifica se tem acesso root chamando o geteuid () função. O resultado da verificação determina onde os arquivos do Trojan serão instalados:

• Se tiver acesso root, os arquivos serão instalados em /Library/.local e /Library/LaunchDaemons;
• Se não tiver acesso root, os arquivos serão instalados em ~/Library/.local e ~/Library/LaunchAgents (“~” representa o caminho para o diretório inicial do usuário atual).
• Todos os arquivos do Trojan a serem baixados na máquina da vítima estão localizados inicialmente na seção “__data” do arquivo dropper.

O componente de espionagem EventMonitor é usado apenas se privilégios elevados não forem obtidos. “Imediatamente antes de processar um pressionamento de tecla, o malware determina o nome do processo cuja janela está atualmente ativa,” diz Kuzin em uma postagem no blog.

Como um resultado, os seguintes arquivos serão instalados no sistema infectado:

• Library/.local/updated – reinicia a atualização de arquivos e o EventMonitor em caso de encerramento inesperado.
• Library/.local/reweb – usado para relançar o arquivo atualizado.
• Library/.local/update – o módulo backdoor.
• Library/.local/libweb.db – o arquivo de banco de dados do programa malicioso. Inicialmente contém as configurações globais do Trojan, como o C.&Endereço C.
• Biblioteca / LaunchAgents (ou LaunchDaemons)/com.updated.launchagent.plist – o arquivo de propriedades usado para definir o arquivo Library/.local/updated para execução automática usando o daemon launchd.

Dependendo se o acesso root está disponível:

E) se for – /Biblioteca/.local/kext.tar. Os seguintes arquivos são extraídos do arquivo:

• updated.kext – o driver que intercepta as teclas do usuário
• Keymap.plist – o mapa que corresponde aos códigos das teclas pressionadas pelo usuário aos caracteres associados a esses códigos;
• EventMonitor – o agente que registra pressionamentos de tecla, bem como certos eventos do sistema para o seguinte arquivo: Biblioteca/.local/.logfile.

B) se não for – ~/Biblioteca/.local/EventMonitor. Este é o agente que registra o nome da janela ativa atual e as teclas pressionadas no seguinte arquivo: Biblioteca/.local/.logfile‏.

O que os especialistas sugerem para proteger seu sistema desse e de alguns outros softwares maliciosos é não fazer login com direitos de administrador ao navegar na Internet ou usar programas que não exigem isso.

Sobre a Pesquisa

O conteúdo que publicamos em SensorsTechForum.com, este guia de remoção de instruções incluído, é o resultado de uma extensa pesquisa, trabalho árduo e a dedicação de nossa equipe para ajudá-lo a remover o problema específico do trojan.

Como conduzimos a pesquisa sobre ?

Observe que nossa pesquisa é baseada em uma investigação independente. Estamos em contato com pesquisadores de segurança independentes, graças ao qual recebemos atualizações diárias sobre as definições de malware mais recentes, incluindo os vários tipos de trojans (Porta dos fundos, downloader, Infostealer, resgate, etc.)

além disso, a pesquisa por trás da ameaça é apoiada com VirusTotal.

Para entender melhor a ameaça representada por trojans, por favor, consulte os seguintes artigos que fornecem detalhes conhecedores.