12 de mayo de 2017

Los expertos de la empresa Doctor Web detectaron e investigaron un troyano para el sistema operativo Apple macOS, capaz de ejecutar los comandos de loa malintencionados.

El troyano backdoor fue añadido a las bases de virus Dr.Web bajo el nombre de Mac.BackDoor.Systemd.1. En el momento de inicio, visualiza en la consola un mensaje con errata «This file is corrupted and connot be opened» y reinicia a sí mismo como si fuera un demonio llamado systemd. Así mismo, Mac.BackDoor.Systemd.1 intenta ocultar su propio archivo, estableciendo las casillas correspondientes. Luego el troyano registra a sí mismo en el autoinicio, para lo cual crea un archivo con comandos sh y el archivo .plist.

La información de configuración cifrada se almacena en el cuerpo mismo del troyano. En función de la misma, Mac.BackDoor.Systemd.1 mismo establece conexión al servidor de control o espera la solicitud de conexión entrante. Una vez establecida la conexión, el backdoor ejecuta los comandos que llegan y envía periódicamente la siguiente información a los malintencionados:

• Nombre y versión del sistema operativo;
• Nombre del usuario;
• Información sobre los privilegios de administrador del usuario (root);
• Direcciones MAC de todas las interfaces de red disponibles;
• Direcciones IP de todas las interfaces de red disponibles;
• Dirección IP externa;
• Tipo del procesador;
• Volumen de la memoria operativa;
• Datos sobre la versión del programa nocivo y su configuración.

El troyano tiene su propio manager de archivos, usando el cual los ciberdelincuentes pueden realizar varias acciones con carpetas y archivos en el equipo infectado. El backdoor es capaz de ejecutar los comandos siguientes:

• Recibir el listado del contenido del directorio establecido;
• Leer el archivo;
• Guardar en el archivo;
• Recibir el contenido del archivo;
• Borrar un archivo o una carpeta;
• Cambiar nombre del archivo o de la carpeta
• Cambiar los permisos para el archivo o la carpeta (comando chmod);
• Cambiar el titular del objeto de archivo (comando chown);
• Crear una carpeta;
• Ejecutar un comando en shell bash;
• Actualizar el troyano;
• Reinstalar el troyano;
• Cambiar la dirección IP del servidor de control;
• Instalar un complemento.

El troyano Mac.BackDoor.Systemd.1 se detecta y se borra por los productos Dr.Web para Mac y por lo tanto no es de amenaza para nuestros usuarios.

Más información sobre el troyano