Mac kötü amaçlı yazılımı Apple şifrelerini ve kripto cüzdanlarını çalıyor

Apple kullanıcıları için tehlike

Yeni Mac kötü amaçlı yazılımı kendini gizleyip parolaları çalıyor

Mac için yeni bir kötü amaçlı yazılım, bir Apple programı gibi görünüyor. “CrashStealer” erişim ve tarayıcı verilerinin yanı sıra kripto para birimlerine de erişiyor. Kullanıcıların yapabilecekleri.

Güvenlik araştırmacıları, Apple bilgisayarlarını hedef alan ve parolaları, kimlik bilgilerini ve kripto para birimlerini çalabilen yeni kötü amaçlı yazılımlar keşfetti. “CrashStealer” adlı program kendisini bir hizmet olarak gizler Elma. Zararlıyı inceleyen “Jamf Tehdit Laboratuvarları” uzmanları da buna dikkat çekiyor.

Rapora göre “CrashStealer”, Apple'ın “CrashReporter”ı gibi görünüyor. Bu araç genellikle Mac'te bir program çöktüğünde görünür. Kötü amaçlı yazılım, çevrimiçi toplantılar için bir program gibi görünen “Werkbit” adlı sahte bir uygulama aracılığıyla dağıtılıyor.

• Güvenlik açıkları: Apple iPhone ve iPad'lerde iyileştirmeler yapıyor
• “Kapı Bekçisi” durumu: Apple, daha katı kurallar konusundaki anlaşmazlıkta AB mahkemesinde kaybetti

Kötü amaçlı program başladıktan sonra normal bir macOS sistem penceresine benzer bir şifre isteği gösteriyor. Kullanıcı parolasını girerse yazılım, Apple'ın parolaları ve diğer gizli verileri depoladığı anahtar zincirinin kilidini açar.

Daha sonra hırsızlık başlıyor. Kötü amaçlı yazılım, Chrome, Edge, Brave ve Opera gibi popüler tarayıcılardan veri topluyor. Rapora göre şirket aynı zamanda kripto cüzdanları (yani kripto para birimleri için dijital cüzdanlar) için yaklaşık 80 uzantının yanı sıra 1Password, Bitwarden ve LastPass dahil 14 şifre yöneticisi de arıyor.

Program ayrıca kullanılabilir dosyalar için “Belgeler” ve “İndirilenler” klasörlerini de aramalıdır. Topladığı bilgileri şifrelediği ve saldırganın sunucusuna ilettiği söyleniyor.

Dağıtım yolu normal kötü amaçlı yazılımlardan farklıdır. Jamf Threat Labs'a göre yükleyici geçerli bir geliştirici sertifikasıyla geldi ve Apple tarafından kontrol edildi. Böylece ilk çalıştırmada kapı bekçisi güvenlik kontrolünden geçmeyi başardı. Bu, diğer şeylerin yanı sıra indirilen programların geçerli bir imza olup olmadığını kontrol eder, ancak bir uygulamanın kalıcı olarak kötü amaçlı kodlardan arınmış olduğunu garanti etmez.

Sahte “Werkbit” uygulaması yalnızca PIN girildikten sonra indirilebiliyordu. Bu nedenle uzmanlar, saldırıların en azından geçici olarak seçilmiş kişilere yönelik olduğundan ve yaygın olmadığından şüpheleniyor. Programın ilk belirtileri Mayıs ayından beri mevcut ve aktif enfeksiyonlar Temmuz ayında “Jamf” tarafından keşfedildi.

“Jamf” sertifikayı Apple'a bildirdi. Şirket artık ilgili tanımlayıcıyı iptal etti, dolayısıyla incelenen dağıtım kanalının artık çalışma ihtimali kalmadı. Ancak uyarlanan varyantlar başka dosyalar aracılığıyla tekrar görünebilir.

İndirilen bir uygulama, başlatıldıktan hemen sonra ek bir “CrashReporter” kurmak isterse veya sistem şifresini isterse Mac kullanıcıları şüphelenmelidir. Mümkünse kullanıcılar programları yalnızca resmi uygulama mağazasından veya doğrudan ilgili sağlayıcının web sitesinden indirmelidir.