21 de septiembre de 2015

Este mes ya informamos más de una vez de los troyanos que instalan varias aplicaciones no deseadas y de publicidad en equipos de usuarios Windows. Pero los malintencionados se interesan no solo por esta familia de sistemas operativos — los analistas de virus de la empresa Doctor Web investigaron una muestra curiosa del instalador de publicidad para Mac OS X llamado Adware.Mac.WeDownload.1.

Una copia de Adware.Mac.WeDownload.1 que llegó al laboratorio de virus de la empresa Doctor Web es una distribución falsificada del reproductor Adobe Flash Player y tiene la siguiente firma digital: "Developer ID Application: Simon Max (GW6F4C87KX)". Este descargador se difunde usando los recursos del programa socio destinado para monetizar el tráfico de archivos.

Adware.Mac.WeDownload.1 #drweb" />

Durante la instalación Adware.Mac.WeDownload.1 solicita los derechos de superadministrador del sistema operativo, y consulta consecutivamente, para descargar la ventana principal de la aplicación, tres servidores administrativos cuyas direcciones siempre están en su archivo de configuración. Si ningún abonado remoto contesta, el instalador se finaliza. En caso de recibir la respuesta correctamente, Adware.Mac.WeDownload.1 envía al servidor administrativo una solicitud POST que contiene los datos de configuración del descargador en formato JSON (JavaScript Object Notation), y de respuesta recibe una página HTML con el contenido de la ventana visualizada al usuario. El instalador añade una marca de la hora actual y firma digital creada por algoritmo especial a todas las solicitudes posteriores GET- y POST-.

Una vez enviada la solicitud correspondiente, Adware.Mac.WeDownload.1 recibe del servidor administrativo un listado de aplicaciones que se ofrecerán al usuario para instalar. Entre ellos hay tanto programas no deseados como explícitamente nocivos, entre ellos, Program.Unwanted.MacKeeper, Mac.Trojan.Crossrider, Mac.Trojan.Genieo, Mac.BackDoor.OpinionSpy, varios representantes de la familia Trojan.Conduit y algunas otras aplicaciones peligrosas.

Adware.Mac.WeDownload.1 #drweb" />

El número y el contenido de programas instalados dependen del «vínculo» geográfico de la dirección IP de la víctima. Si el listado de aplicaciones está vacío, al usuario no se le ofrecerá nada para instalar además de lo que tenía previsto descargar inicialmente.

Los expertos de la empresa Doctor Web otra vez advierten a los usuarios de equipos Apple de la necesidad de ser prudentes y no descargar aplicaciones de fuentes sospechosas. La firma Adware.Mac.WeDownload.1 fue añadida a las bases de virus, por lo tanto, este instalador no supone peligro para los usuarios del Antivirus Dr.Web para Mac OS X.

Más información sobre el instalador