El predecesor de MacOS Proton RAT, Calisto, descubierto en VirusTotal

Seguridad Global 24h

Entre los 2^{Dakota del Norte}y 6^thde mayo, un Freno de mano enlace espejo de descarga de software (download.handbrake.fr) se vio comprometido y los desarrolladores publicaron un advertencia aviso en el 6^thde mayo para guiar a los usuarios a determinar si sus sistemas MacOS fueron infectados por el conocido troyano de acceso remoto Proton (RAT). Se informó que aproximadamente el 50% de todas las descargas realizadas en ese período de tiempo dieron como resultado sistemas de dispositivos infectados. Ahora, los investigadores de Kaspersky Han logrado tropezar con un predecesor del malware Proton RAT, Calisto, que creen que se desarrolló un año antes que Proton, ya que no tenía la capacidad de eludir la Protección de integridad del sistema (SIP), que exige credenciales de administrador para la edición de archivos fundamentales. una característica que se estaba mejorando en ese momento. Los investigadores de Kaspersky han concluido que Calisto fue abandonado a favor de Proton porque el código de Calisto parecía sin pulir. Calisto fue descubierto el VirusTotal , y parece que el virus permaneció allí durante dos o tres años sin ser detectado hasta ahora.

Proton RAT es un malware peligroso y poderoso lanzado por primera vez a fines de 2016 que utiliza certificados de firma de código genuinos de Apple para manipular el sistema y obtener acceso de root en dispositivos MacOS. El malware es capaz de eludir todas las medidas de seguridad implementadas, incluida la autenticación de dos factores de iCloud y la Protección de integridad del sistema, de modo que pueda monitorear de forma remota la actividad de la computadora registrando pulsaciones de teclas, ejecutando ventanas emergentes falsas para recopilar información, tomando capturas de pantalla, viendo de forma remota todo la actividad en pantalla, extrayendo archivos de datos de interés y observando al usuario a través de su webcam. Parece haber una forma sencilla de eliminar el malware una vez detectado, pero si se encuentra que ha estado activo en el sistema (si el proceso 'Activity_agent' aparece en la aplicación Activity Monitor en el dispositivo), los usuarios pueden estar seguros de que ha almacenó todas sus contraseñas y accedió a los datos guardados en los navegadores o en el propio llavero de Mac. Por lo tanto, se solicita a los usuarios que los cambien instantáneamente en un dispositivo limpio para evitar comprometer sus datos financieros y en línea.

Lo más interesante de Proton RAT es que, según el Célula de integración de comunicaciones y ciberseguridad de Nueva Jersey (NJCCIC) , el creador del malware lo publicitó como un software de monitoreo para corporaciones e incluso padres para el monitoreo de uso doméstico de la actividad digital de sus hijos. Este software tenía un precio de entre USD $ 1,200 y USD $ 820,000 según la licencia y las funciones otorgadas al usuario. Sin embargo, estas funciones de 'monitoreo' eran ilegales y cuando los piratas informáticos consiguieron el código, el programa se envió a través de muchas descargas en videos de YouTube, portales web comprometidos, el software HandBrake (en el caso del cual HandBrake-1.0. 7.dmg fue reemplazado por un archivo OSX.PROTON) y a través de la web oscura. Aunque los usuarios no tienen nada que temer con Calisto mientras su SIP esté habilitado y funcionando, los investigadores encuentran alarmante la capacidad del código para manipular el sistema con credenciales auténticas de Apple y temen lo que el malware futuro pueda hacer empleando el mismo mecanismo. En esta etapa, el Proton RAT es removible una vez detectado. Sin embargo, trabajando en la misma manipulación fundamental de certificados, el malware pronto podría engancharse a los sistemas como un agente permanente.