12 maggio 2017

Gli specialisti Doctor Web hanno scoperto ed esaminato un trojan per il sistema operativo Apple macOS, che è in grado di eseguire comandi provenienti dai malfattori.

Il trojan-backdoor è stato aggiunto ai database dei virus Dr.Web sotto il nome Mac.BackDoor.Systemd.1. Al momento dell'avvio il malware restituisce in console un messaggio scritto con un errore di battitura «This file is corrupted and connot be opened» e si riavvia come un daemon con il nome systemd. Facendo questo, Mac.BackDoor.Systemd.1 cerca di nascondere il proprio file, impostando i flag opportuni. Quindi il trojan si registra tra i programmi eseguiti in automatico, per cui crea un file con i comandi sh e un file .plist.

Le informazioni di configurazione cifrate sono conservate all'interno del file del trojan. A seconda di queste informazioni Mac.BackDoor.Systemd.1 stabilisce una connessione con il suo server di gestione o alternativamente attende una richiesta di connessione in arrivo. Dopo aver stabilito un collegamento, il backdoor esegue comandi in arrivo e spedisce periodicamente le seguenti informazioni ai malintenzionati:

• nome e versione del sistema operativo;
• nome utente;
• presenza dei privilegi di amministratore (root);
• indirizzi MAC di tutte le interfacce di rete disponibili;
• indirizzi IP di tutte le interfacce di rete disponibili;
• indirizzo IP esterno;
• tipo di CPU;
• quantità di memoria operativa;
• dati circa la versione del programma malevolo e la sua configurazione.

Il trojan ha un proprio gestore di file, attraverso cui i criminali informatici possono eseguire diverse operazioni con i file e le cartelle sul computer infetto. Il backdoor può eseguire i seguenti comandi:

• leggere un file;
• scrivere in un file;
• ricavare i contenuti di un file;
• rimuovere un file o una cartella;
• rinominare un file o una cartella;
• modificare i permessi per un file o una cartella (comando chmod);
• modificare l'owner di un oggetto di file (comando chown);
• creare una cartella;
• eseguire un comando nella shell bash;
• aggiornare il trojan;
• reinstallare il trojan;
• cambiare l'indirizzo IP del server di controllo;
• installare un plugin.

Il trojan Mac.BackDoor.Systemd.1 viene rilevato e rimosso dai prodotti Dr.Web per Mac e quindi non rappresenta un rischio per i nostri utenti.

Informazioni sul trojan