Il trojan proxy prende di mira gli utenti macOS per reindirizzare il traffico

È stato scoperto un sofisticato trojan proxy che prende di mira macOS e viene distribuito tramite versioni piratate di software aziendali autentici, inclusi strumenti di modifica, software di recupero dati e applicazioni di scansione della rete.

Il Trojan funziona mascherandosi da programma legittimo durante l'installazione, per poi creare successivamente un server proxy nascosto all'interno del sistema dell'utente, secondo un Rapporto Kaspersky questa settimana. Questo server nascosto consente agli autori delle minacce di mantenere una backdoor sul sistema ma anche di reindirizzare il traffico di rete attraverso il dispositivo compromesso.

Sergey Puzan, esperto di sicurezza informatica di Kaspersky, spiega che la presenza di un simile trojan proxy può avere conseguenze di varia gravità per le vittime. Ad esempio, se il proxy viene utilizzato per instradare il traffico di altri utenti, magari da VPN senza scrupoli, ciò può caricare notevolmente la rete dell'utente, rallentandone il funzionamento o utilizzando eventuali limiti di traffico impostati.

Altri possibili scenari potrebbero vedere attori malintenzionati utilizzare i computer delle vittime per aumentare le visualizzazioni della pubblicità; organizzazione di una botnet allo scopo di ulteriori attacchi DDoS su vari siti, organizzazioni o altri utenti; o per attività illegali, come l'acquisto di armi, farmaci o la distribuzione di informazioni dannose o altri programmi dannosi.

Nel caso di attività illegali su Internet, ci sono rischi diretti significativi per l'utente, poiché qualsiasi azione di questo tipo verrà eseguita dall'indirizzo IP di quell'utente, e ciò significa per conto dell'utente.

Usare DoH per integrarsi

Sul fronte tecnico, il rapporto di Kaspersky rileva che oltre alla versione macOS, sono stati scoperti esemplari per Android e Windows collegati allo stesso server di comando e controllo (C2). Per tutti e tre, i ricercatori hanno evidenziato l’uso di DNS-over-HTTPS (DoH) per nascondere le comunicazioni C2 agli strumenti di monitoraggio del traffico.

Nello specifico, DoH può permettergli di aggirare soluzioni di sicurezza primitive basate solo sull’analisi delle richieste DNS, poiché la richiesta sembrerà una normale richiesta HTTPS a un server che implementa DoH.

"La principale strategia di protezione per gli utenti comuni sarà ovviamente l'installazione di una soluzione di sicurezza, come ad esempio un antivirus con funzioni di analisi del traffico di rete", afferma Puzan. "È sufficiente monitorare il movimento del traffico e i cambiamenti nel file system."

E aggiunge: "In questo caso, puoi aggiungere l'indirizzo IP del server C2 alla lista nera, quindi il Trojan non sarà in grado di connettersi al server e ne rileverai immediatamente la presenza nel sistema."

Il proxy si diffonde anche tramite applicazioni crackate provenienti da siti Web non autorizzati, prendendo di mira gli utenti che cercano strumenti software gratuiti ed esponendoli a potenziali installazioni di malware, quindi un modo semplice per evitare l'infezione è evitare di scaricare software piratato.

Utenti Mac: obiettivi costanti per le botnet

Ken Dunham, direttore delle minacce informatiche presso Qualys, osserva che gli utenti Mac potrebbero avere la percezione errata di non essere nel mirino dei criminali informatici, ma è vero il contrario.

Ad esempio, i fan di Apple lo hanno fatto da tempo preso di mira dagli attori botnet, a causa del livello Mac per gli utenti e Livello di base del codice BSD sotto, di cui si può abusare silenziosamente utenti malintenzionati che compromettono un endpoint.

"Per anni, molti utenti Mac si sono sentiti invulnerabili agli attacchi, a causa dell'elevato volume di attacchi riscontrati nel mondo Windows", spiega Dunham. “Mentre la superficie di attacco di Windows è chiaramente molto più ampia, tutti i sistemi operativi e le superfici di attacco software sono sotto attacco nel 2023, dove gli aggressori non lasciano nulla di intentato”.  

Dati specifici lo confermano: nel mese di ottobre, Accenture ha pubblicato un rapporto rivelando un aumento di dieci volte degli autori di minacce del Dark Web che prendono di mira macOS dal 2019, e la tendenza probabilmente continuerà.

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• PlatoData.Network Generativo verticale Ai. Potenzia te stesso. Accedi qui.
• PlatoAiStream. Intelligenza Web3. Conoscenza amplificata. Accedi qui.
• PlatoneESG. Carbonio, Tecnologia pulita, Energia, Ambiente, Solare, Gestione dei rifiuti. Accedi qui.
• Platone Salute. Intelligence sulle biotecnologie e sulle sperimentazioni cliniche. Accedi qui.
• Fonte: https://www.darkreading.com/vulnerabilities-threats/proxy-trojan-targets-macos-users-traffic-redirection