Virus per Mac: Dal Vietnam una macro malevola
Se pur meno diffusi, i virus esistono anche per Mac. L’ultimo rilevato da Trend Micro identifica un documento di Microsoft Word con un macro che apre una backdoor per Mac. All’apertura del documento, Word chiede di attivare le macro presenti nel file; una volta attive le macro, viene automaticamente attivata la backdoor.
L’allegato in questione è un documento Microsoft Word (.doc) e viene inviato in una mail diffusa mediante campagne di phising.
Alla richiesta di attivazione delle macro presenti, viene sganciata la bomba consistente in una backdoor che secondo i ricercatori di Trend Micro sarebbe attruibile a OceanLotus, noto anche come SeaLotus o Cobalt Kitty, che ha condotto diversi attacchi contro organizzazioni per i diritti umani, media, istituti di ricerca e società varie.
Caratteristiche tecniche del “dropper”
Il dropper installa la backdoor in macOS e rimane attivo; ogni stringa di comando del dropper è cifrata tramite chiave RSA256. La backdoor è in grado di operare indipendentemente se l’utente ha eseguito il login come root e sono due le sue funzioni principali:
- Il processo “infoClient” raccoglie informazioni sul sistema inviando i dati a un server di comando e controllo (C&C) dal quale può anche ricevere istruzioni.
- Il secondo processo, denominato “runHandle”, si occupa di mantenere attiva la backdoor.
Come difendersi dai Virus per Mac
Accertarsi sempre dell’origine di ogni documento; aprite sempre e solo i file provenienti da utenti riconosciuti o riconoscibili.
Mantenete il vostro Mac sempre aggiornato, stando sempre attenti ad installare update del sistema creati appositamente per proteggersi da pericoli di questo tipo.
Effettuate pulizie di sistema con software scaricabili in rete come CCleaner, Anti-Malware, ecc…
Fate attenzione alle cosidette “strategie d’ingegneria sociale”. Con tecniche di social engineering si convincono gli utenti a scaricare ed eseguire applicazioni (che si rivelano finte) che in fase di installazione richiedono nome utente e password dell’amministratore, in modo da ottenere privilegi più alti e istallare componenti in aree protette e altri elementi da eseguire automaticamente all’avvio del sistema.
