Новый вирус для Mac охотится на пароли и криптовалюту: достаточно одной команды в Terminal

Многие владельцы Mac до сих пор уверены, что macOS практически не интересует киберпреступников. На самом деле это уже давно не так. Специалисты компании Huntress обнаружили новое вредоносное программное обеспечение, которое может красть пароли, собирать личные данные и получать доступ к криптовалютным кошелькам.

Самое неприятное заключается в том, что для заражения компьютера злоумышленникам даже не нужно искать уязвимость в macOS. В большинстве случаев пользователь сам запускает вредоносный код, даже не подозревая об этом.

Всё начинается с обычного сообщения на сайте

Сценарий выглядит довольно убедительно. Пользователь открывает сайт и видит сообщение об ошибке или CAPTCHA. Затем ему предлагают выполнить несколько действий, чтобы якобы подтвердить, что он не робот, или устранить проблему.

Среди этих действий есть просьба открыть Terminal и вставить туда готовую команду.

Именно этого и добиваются злоумышленники.

После выполнения команды на компьютер автоматически загружается вредоносное ПО. Оно определяет, какой Mac использует жертва — с процессором Apple Silicon или Intel, — а затем устанавливает соответствующую версию.

После этого вирус старается скрыть своё присутствие: очищает историю команд в Terminal, удаляет временные файлы и убирает следы установки.

Что именно ищет вирус

После заражения программа начинает собирать информацию, которая может представлять интерес для злоумышленников.

В первую очередь её интересуют:

• пароли, сохранённые в браузерах;
• данные Apple Keychain;
• файлы cookie;
• информация, которая поможет получить доступ к различным аккаунтам.

Кроме того, вирус может показать поддельное системное окно macOS с просьбой ввести пароль администратора.

Внешне оно практически не отличается от настоящих системных сообщений. Если пользователь не обратит внимания на мелкие детали, он может сам передать свой пароль злоумышленникам.

[blog-product-8777, 8758, 8755, 8671, 8650-title-new_product]

Самое интересное — вирус не всегда крадёт все деньги

Именно эта функция больше всего заинтересовала исследователей.

Вредоносная программа ищет криптовалютные кошельки, проверяет их баланс и может переводить средства на адрес, который контролируют злоумышленники.

Но есть одна особенность.

Вместо того чтобы полностью опустошить кошелёк, вирус может украсть только часть средств.

По данным Huntress, в коде предусмотрена возможность указать, какой именно процент средств необходимо перевести.

Такой подход выглядит довольно хитрым. Если пользователь потеряет все деньги сразу, проблему заметят практически мгновенно. А вот исчезновение небольшой суммы можно не сразу связать со взломом.

Исследователи также обнаружили поддержку нескольких популярных блокчейнов, среди которых Bitcoin, Ethereum, Litecoin, Dogecoin и XRP.

При этом Huntress отмечает, что во время анализа не нашла доказательств того, что эта функция уже использовалась на практике. Пока речь идёт лишь о возможностях, заложенных разработчиками вредоносного ПО.

Маскируется под системные файлы macOS

После установки вирус старается вести себя максимально незаметно.

Его файлы получают названия, похожие на системные компоненты macOS, поэтому на первый взгляд они не вызывают подозрений.

Кроме того, вредоносная программа настраивает автоматический запуск после перезагрузки компьютера. Это позволяет ей оставаться активной даже после выключения или повторного запуска системы.

Apple уже пытается усложнить подобные атаки

В последнее время подобные схемы встречаются всё чаще, поэтому Apple начала внедрять дополнительные механизмы защиты.

В macOS 27 система предупреждает пользователя, если он пытается вставить в Terminal команду, скопированную с сайта, из сообщения или электронного письма.

Если команда выглядит подозрительно или содержит известные вредоносные элементы, macOS может показать предупреждение перед её выполнением.

Однако полностью полагаться на эту защиту не стоит. Если пользователь проигнорирует предупреждение и всё же подтвердит выполнение команды, заражение всё равно возможно.

Как защитить свой Mac

Эксперты рекомендуют соблюдать несколько простых правил:

• не запускайте в Terminal команды, если не уверены в их происхождении;
• не выполняйте инструкции сайтов, которые просят открыть Terminal или Script Editor для прохождения CAPTCHA или устранения ошибок;
• регулярно устанавливайте обновления macOS;
• используйте двухфакторную аутентификацию для важных аккаунтов.

Если вы уже выполнили подозрительную команду, рекомендуется как можно скорее отключить Mac от интернета, проверить систему, сменить все важные пароли с другого устройства и при необходимости перевести криптовалюту на новый кошелёк.

FAQ