ESET выявила кибератаку на пользователей macOS. Хакеры взломали сайт компании-разработчика Eltima и распространяли зараженные трояном OSX/Proton версии популярных приложений: мультимедийного плеера Elmedia Player и менеджера закачек Folx.

Эксперты ESET обнаружили зараженные приложения на сайте Eltima 19 октября. После предупреждения разработчики устранили угрозу и сообщили о возобновлении раздачи легитимного софта.

OSX/Proton – троян для удаленного доступа (Remote Access Trojan, RAT), который продавался на подпольных форумах с марта 2017 года. В нем предусмотрены функции для кражи данных, включая информацию о пользователе и операционной системе, список установленных приложений, данные браузеров, номера криптовалютных кошельков, данные связки ключей macOS, сохраненные логины и пароли.

Для атаки хакеры создали подписанную действующим сертификатом (в настоящее время сертификат отозван Apple) оболочку вокруг легитимного приложения Elmedia Player и трояна Proton. После скачивания с сайта Eltima оболочка запускает настоящий медиаплеер, а затем выполняет в системе код Proton. Троян выводит на экран поддельное окно авторизации, чтобы получить права администратора.

Подобная схема (атаки на цепи поставок – supply-chain attack) уже использовалась ранее для распространения вредоносного ПО для macOS. В 2016 году дважды взламывался торрент-клиент Transmission – в первом инциденте фигурировал шифратор OSX/KeRanger, во втором – инструмент для кражи паролей OSX/Keydnap. В 2017 году приложение Handbrake для кодирования видео на Мас было заражено трояном Proton.

ESET рекомендует всем пользователям, недавно загружавшим программное обеспечение с сайта Eltima, проверить систему на предмет компрометации. На заражение указывает присутствие любого из следующих файлов или каталогов:

• /tmp/Updater.app/
• /Library/LaunchAgents/com.Eltima.UpdaterAgent.plist
• /Library/.rand/
• /Library/.rand/updateragent.app/

Приложения Elmedia Player для MacOS и Windows насчитывает более миллиона пользователей.