على الرغم من أن نظام التشغيل macOS مستقر جدًا بشكل عام، إلا أنه في بعض الأحيان يتعطل أحد التطبيقات وسيعرض جهاز Mac الخاص بك إرسال تقرير تشخيصي إلى Apple.
تم اكتشاف شكل جديد من البرامج الضارة لنظام التشغيل Mac، والذي يقوم بإنشاء إصدارات مزيفة من هذا النموذج، ويطلب كلمة مرور جهاز Mac الخاص بك كجزء من جمع البيانات. إذا امتثلت، فسوف تتمكن من الوصول إلى مجموعة كبيرة من البيانات الشخصية، بما في ذلك مديري كلمات المرور ومحافظ العملات المشفرة…
وتقول شركة Jamf إنها بدأت في تتبع البرامج الضارة لأول مرة في شهر مايو، وقد شاهدتها الآن على نطاق واسع.
في أوائل شهر مايو، ظهرت عينة مشبوهة من نظام التشغيل macOS تم تحميلها إلى VirusTotal من خلال مسار معالجة العينات الخاص بنا، وبدأت Jamf Threat Labs في تتبعها. لقد قام بتقليد إطار عمل الإبلاغ عن الأعطال الخاص بشركة Apple، وفي تلك المرحلة، بدا وكأنه برنامج سرقة معلومات لا يزال قيد التطوير. بحلول أوائل شهر يوليو، كنا نشهد اكتشافات ميدانية للحمولة النافعة التي تتطابق مع إحدى قواعدنا الداخلية، مما يشير إلى أن المشروع قد نضج من التطوير إلى الاستخدام النشط. نقوم بتتبع هذه البرامج الضارة تحت اسم CrashStealer.
تقول شركة الأمن السيبراني إن صورة القرص المستخدمة لتوزيع البرامج الضارة كانت تحتوي في البداية على معرف مطور Apple صالح وتوثيق يسمح لها باجتياز اختبارات Gatekeeper.
يتم الوصول الأولي من خلال صورة قرص تسمى “Werkbit Setup”، والتي يتم تثبيتها على
/Volumes/Werkbit Setupويحتوي على حزمة تطبيق واحدة،Werkbit.app. تم تسمية الملف التنفيذي الخاص بهveltodويحمل معرف الحزمةdev.golove.velto. على عكس الحمولة التي يتم تثبيتها في النهاية، فإن القطارة تكون موقعة وموثقة بشكل صحيح بالكود: فهي ثنائية عالمية (arm64 وx86_64) موقعة بمعرف المطورEmil Grigorov (WWB7JA7AQV)، وقد تم تمكين وقت التشغيل المقوى، ويحمل تذكرة توثيق مدبسة. ومن الجدير بالذكر أن صورة القرص نفسها تكون موقعة أيضًا، وليس فقط التطبيق بداخلها، وهو أمر غير شائع في تسليم DMG الضار حيث تُترك الحاوية عادةً بدون توقيع.
مكوورلد يقول أن شركة Apple قد ألغت بيانات الاعتماد، لذا يجب الآن أن يتم اكتشافها بواسطة Gatekeeper. ومع ذلك، لا يزال ينصح بالحذر. بالإضافة إلى البحث عن صورة القرص هذه، يجب عليك أيضًا فحص تقارير تعطل التطبيق عن كثب وأي مطالبة بكلمة المرور تشير إلى أن تفضيلات النظام تريد إجراء تغييرات.
وكما هو الحال دائمًا، فإن أفضل حماية لك هي التأكد من عدم تنزيل التطبيقات إلا من Mac App Store ومواقع المطورين الذين تثق بهم.
تصوير فيليب كاتزنبيرجر على Unsplash
FTC: نحن نستخدم الروابط التابعة التلقائية لكسب الدخل. أكثر.
