Trojaner-Proxy-Malware kann auf mehrere Betriebssysteme abzielen
Unautorisierte Websites, die manipulierte Versionen geknackter Software verbreiten, wurden als Infektionsquellen für Apple macOS-Benutzer mit einer neuartigen Trojan-Proxy-Malware identifiziert.
Forscher erklärten, dass Täter diese Form von Malware ausnutzen können, um Einnahmen zu erzielen, indem sie ein Proxy-Server-Netzwerk aufbauen oder im Namen des Opfers illegale Aktivitäten ausführen, wie etwa Angriffe auf Websites, Unternehmen und Einzelpersonen sowie den Kauf von Schusswaffen, Betäubungsmitteln usw andere illegale Gegenstände.
Forscher fanden Hinweise darauf, dass die Malware eine plattformübergreifende Bedrohung darstellt. Diese Schlussfolgerung ergibt sich aus der Entdeckung von Artefakten im Zusammenhang mit Windows und Android, die auf Raubkopien von Tools zurückgreifen.
Trojan-Proxy tarnt sich als Raubkopien von Apps
Die macOS-Iterationen tarnen sich als authentische Multimedia-, Bildbearbeitungs-, Datenwiederherstellungs- und Produktivitätstools. Dies bedeutet, dass Personen, die auf der Suche nach Raubkopien von Software sind, die Hauptziele der Kampagne sind. Im Gegensatz zu ihren legitimen Gegenstücken, die als Disk-Image-Dateien (.DMG) verbreitet werden, werden die gefälschten Versionen als .PKG-Installationsprogramme verbreitet, die über ein Post-Installationsskript verfügen, das nach der Installation bösartiges Verhalten auslöst.
Das ultimative Ziel der Kampagne besteht darin, den Trojan-Proxy einzusetzen, der sich unter macOS als WindowServer-Prozess tarnt, um einer Entdeckung zu entgehen. WindowServer ist ein grundlegender Systemprozess, der für die Verwaltung von Fenstern und die Darstellung der grafischen Benutzeroberfläche (GUI) von Anwendungen verantwortlich ist.
Bei der Initiierung versucht die Malware, die IP-Adresse des Command-and-Control-Servers (C2) über DNS-over-HTTPS (DoH) zu erlangen, indem sie DNS-Anfragen und -Antworten mithilfe des HTTPS-Protokolls verschlüsselt.
Anschließend stellt Trojan-Proxy die Kommunikation mit dem C2-Server her und wartet auf weitere Anweisungen, einschließlich der Verarbeitung eingehender Nachrichten, um die IP-Adresse für die Verbindung, das zu verwendende Protokoll und die zu übertragende Nachricht zu interpretieren. Dies weist auf seine Fähigkeit hin, über TCP oder UDP als Proxy zu fungieren, um den Datenverkehr über den gefährdeten Host umzuleiten.
Forscher berichteten, bereits am 28. April 2023 online hochgeladene Instanzen der Malware entdeckt zu haben. Um solchen Bedrohungen entgegenzuwirken, wird Benutzern empfohlen, keine Software von nicht vertrauenswürdigen Quellen herunterzuladen.
