Malware Trojan-Proxy pode atingir vários sistemas operacionais
Sites não autorizados que distribuem versões adulteradas de software crackeado foram identificados como fontes de infecção para usuários do Apple macOS com um novo malware Trojan-Proxy.
Os pesquisadores explicaram que os perpetradores podem aproveitar essa forma de malware para gerar receita estabelecendo uma rede de servidores proxy ou executando atividades ilícitas em nome da vítima, como lançar ataques a sites, empresas e indivíduos, bem como comprar armas de fogo, narcóticos e outros itens ilegais.
Os pesquisadores descobriram evidências sugerindo que o malware representa uma ameaça entre plataformas. Esta inferência é tirada da descoberta de artefatos associados ao Windows e ao Android, que se aproveitaram de ferramentas piratas.
Trojan-Proxy se disfarça de aplicativos piratas
As iterações do macOS se disfarçam como ferramentas autênticas de multimídia, edição de imagens, recuperação de dados e produtividade. Isto implica que os indivíduos que procuram software pirata são os alvos principais da campanha. Ao contrário de suas contrapartes legítimas distribuídas como arquivos de imagem de disco (.DMG), as versões falsificadas são disseminadas como instaladores .PKG, apresentando um script pós-instalação que desencadeia comportamento malicioso após a instalação.
O objetivo final da campanha é implantar o Trojan-Proxy, que se disfarça como o processo WindowServer no macOS para evitar a detecção. WindowServer é um processo de sistema fundamental responsável por gerenciar janelas e renderizar a interface gráfica do usuário (GUI) de aplicativos.
Após a inicialização, o malware tenta adquirir o endereço IP do servidor de comando e controle (C2) por meio de DNS sobre HTTPS (DoH), criptografando solicitações e respostas de DNS usando o protocolo HTTPS.
Posteriormente, o Trojan-Proxy estabelece comunicação com o servidor C2 e aguarda novas diretivas, incluindo o processamento de mensagens recebidas para interpretar o endereço IP ao qual se conectar, o protocolo a ser empregado e a mensagem a ser transmitida. Isso indica sua capacidade de funcionar como proxy via TCP ou UDP para redirecionar o tráfego através do host comprometido.
Os pesquisadores relataram a descoberta de instâncias do malware carregadas on-line já em 28 de abril de 2023. Para combater essas ameaças, os usuários são aconselhados a evitar baixar software de fontes não confiáveis.
