Škodlivý kód se šíří v souboru ZIP maskovaný jako textový dokument nebo obrázek ve formátu JPG, a to včetně odpovídající ikony a koncovky, která je ovšem zakončena mezerou. Při pokusu o spuštění takto maskovaného souboru pak operační systém nepoužije aplikaci určenou pro editování textů či obrázků, nýbrž příkazový řádek.
TIP! Sbohem OS X, macOS Sierra je oficiální: provázanost, Siri a další
„Uživatel otvírající fiktivní dokument ve skutečnosti spouští spustitelný soubor pro Mac OS, který záhy stáhne další části malware. Nejdříve dojde ke stažení a spuštění hlavní backdoor komponenty, dále pak ke stažení náhodného obrázku, který nahradí právě spuštěný downloader, a nakonec dojde i na jeho zobrazení uživateli,“ vysvětluje Miroslav Dvořák, technický ředitel společnosti ESET, a dodává: „Po infiltraci zařízení se malware snaží získat přístupové údaje spravované pomocí komponenty operačního systému, správce hesel Keychain.“
V bezpečí jsou uživatelé OS X, kteří mají nastavenou funkci Gatekeeper tak, aby umožňovala spouštění pouze aplikací digitálně podepsaných pomocí vývojářského ID přiděleného společností Apple. Umožňuje-li Gatekeeper stažení i nepodepsaných aplikací, má malware Keydnap přístup do systému.
„Neméně zajímavé je také to, jak Keydnap komunikuje se svým řídícím serverem, od kterého dostává pokyny k činnosti, respektive který na něj rovněž odesílá výsledky prováděných úloh. Používá k tomu totiž Tor2Web proxy infrastrukturu,“ uzavírá Dvořák.
Zdroj: Tisková zpráva ESET
