Зловмисне програмне забезпечення Mac «CoinThief» краде біткойни з вашого гаманця

ОНОВЛЕННЯ (12 лютого, 11:35 GMT): Про це повідомляє SecureMac Зловмисне програмне забезпечення, що викрадає біткойни, поширилося на популярних сайтах для завантаження, таких як Download.com і MacUpdate, під різними назвами. Якщо ви вважаєте, що ваша машина може бути заражена, зробіть знімок екрана з інструкціями тут і негайно відключіться від Інтернету.

За словами дослідників безпеки Mac, троянський кінь Mac OS X, що маскується під приватну програму гаманця для Bitcoin , відповідальний за «множинні» крадіжки Bitcoin .

SecureMac

, консалтингова компанія з безпеки Mac, яка розробляє програму захисту від зловмисного програмного забезпечення MacScan і веде блоги про свої дослідження, випустив звіт сьогоднішнє попередження про "CoinThief.A".

CoinThief.A, прихований у додатку StealthBit для Bitcoin гаманців OS X з відкритим кодом, відстежує веб-трафік користувачів, щоб викрасти облікові дані для програмних гаманців і популярних Bitcoin сайтів, зокрема BTC-e, гора Гокс і Blockchain.info.

Додаток StealthBit був доступний на GitHub як вихідний код, так і попередньо скомпільоване завантаження, але сторінку наразі видаленоhttps://github.com/thomasrevor/StealthBit.

Оновлення: На інших популярних сайтах для завантаження програмного забезпечення, таких як Download.com і MacUpdate.com, були знайдені версії зловмисного програмного забезпечення під різними назвами. BitVanity і StealthBit були поширені на Github, поки Тікер Bitcoin TTM і Litecoin Ticker були розповсюджені на Download.com і MacUpdate.com. Здається, обидві назви програм скопійовано з легальних програм у Mac App Store, але зловмисне корисне навантаження не знайдено в офіційних копіях цих програм в Mac App Store.

Невідповідний код

Підозра виникла, коли дослідники виявили, що попередньо скомпільована версія не відповідає вихідному коду (який більш обізнані користувачі могли перевірити самостійно та мали скомпілювати перед використанням). Попередньо скомпільована версія містила зловмисне програмне забезпечення, а код з відкритим кодом – ні.

У звіті говориться:

«Після першого запуску програми зловмисне програмне забезпечення встановлює розширення браузера для Safari і веб-браузера Google Chrome, не сповіщаючи користувача. Веб-браузери обманом змушують думати, що користувач навмисно встановив розширення, і не попереджають користувача про те, що весь його веб-трафік тепер контролюється шкідливими розширеннями.





Крім того, зловмисне програмне забезпечення встановлює програму, яка постійно працює у фоновому режимі, шукаючи облікові дані для входу в Bitcoin гаманець, які потім надсилаються назад на віддалений сервер».

Розширення веб-переглядача мали нешкідливі звучачі назви, як-от «блокувальник спливаючих вікон», щоб уникнути виявлення. Після встановлення троян також шукає в системі програмне забезпечення для захисту від шкідливих програм і реєструє унікальні ідентифікатори (UUID) для кожної зараженої машини.

Великі крадіжки

Принаймні ONE користувач Bitcoin Talk Forum повідомили колосальна крадіжка 20 BTC після встановлення StealthBit, що також було розміщено на Reddit.

Інші дослідники відзначили кілька подібностей між StealthBit і бітваність, ще одне горезвісне шкідливе програмне забезпечення для Mac, яке викрадало біткойни користувачів минулого серпня. Bitvanity представлявся як генератор адрес гаманця марнославства, який зібрано адреси та приватні ключі з програмного забезпечення, наприклад клієнта Bitcoin-Qt.

Репозиторій коду StealthBit GitHub зберігався під іменем користувача "thomasrevor", а користувач Reddit під ім'ям "trevorscool" опублікував оголошення про його розвиток там 2 лютого. Минулого року код Bitvanity на GitHub був опублікований під назвою «trevory».

як повідомлялося ранішена CoinDesk є багаті винагороди за зловмисне програмне забезпечення тапрограми-вимагачірозробники, які торгують Bitcoin , оскільки вони здебільшого нерегульовані та їх важко відстежити. Співучасникам можна платити, а викуп збирати з будь-якої точки світу.

Безпека з відкритим кодом

Цікаве підкреслило переваги (і проблеми), які оточують програмне забезпечення з відкритим кодом. Хоча зловмисне програмне забезпечення не містилося у версії коду з відкритим вихідним кодом, менш здібні чи нетерплячі користувачі, можливо, довіряли попередньо скомпільованій версії на GitHub і встановлювали її, не замислюючись.

Проте «чиста» версія з відкритим вихідним кодом дозволила програмістам знайти розбіжності між двома версіями протягом декількох днів після її появи, що призвело до швидких попереджень про шкідливе програмне забезпечення та, сподіваємось, до зменшення кількості заражень.

Зображення хакера через Shutterstock