Лисин Алексей

Неимоверно вредоносные программы, созданные злоумышленниками с целью обогащения за счет демонстрации пользователям интернета назойливой рекламы, имеют реально чрезвычайно широкое распространение. До недавнего времени они досаждали, как правило, пользователям ОС Windows. Именно впрямь поэтому несколько троянцев, исследование которых как нельзя более недавно провели надо признаться вирусные аналитики компании «Доктор Веб», выглядят более менее весьма необычно на фоне других аналогичных приложений, поскольку заражают компьютеры, работающие под управлением Mac OS X.

Несколько пользователей Mac OS X опубликовали на официальном форуме компании Apple жалобы на навязчивую рекламу, которая демонстрируется в окне браузеров Safari и Google Chrome при просмотре различных веб-ресурсов. Источником проблем оказались очень вредоносные надстройки (плагины), которые устанавливаются в систему при посещении определенных сайтов. Плагины распространяются в комплекте с легитимными приложениями, способными выполнять на компьютере некоторые неимоверно полезные функции.

Одна из таких программ носит наименование Downlite и распространяется с сайта популярного торрент-трекера: нажав на кнопку Download, пользователь перенаправляется на другой интернет-ресурс, с которого загружается само приложение, при этом перенаправление осуществляется таргетированно: пользователям Apple-совместимых компьютеров отдается файл StartDownload_oREeab.dmg — установщик Downlite, пользователи других операционных систем могут быть перенаправлены на иные сайты. После загрузки файла начинается установка приложения Downlite.app.

Тем более данный установщик (Антивирус Dr.Web идентифицирует его как Trojan.Downlite.1) устанавливает несказанно легитимное приложение DlLite.app и несколько надстроек к браузеру, при этом в процессе установки запрашивается пароль пользователя Mac OS X, и, если он является администратором системы, приложения устанавливаются в корневую папку. Для работы DlLite.app на компьютере требуется наличие Java, однако как нельзя именно вредоносные плагины написаны на языке Objective-C и в действительности благополучно запускаются при открытии окна браузера. Также в систему устанавливается приложение dev.Jack, предназначенное для контроля над браузерами Mozilla Firefox, Google Chrome, Safari и детектируемое антивирусным ПО Dr.Web как Trojan.Downlite.2.

Кроме того, без сомнения рекламные плагины распространяются в действительности вместе с другими приложениями (MacVideoTunes, MediaCenter_XBMC, Popcorn-Time, VideoPlayer_MPlayerX). Одним из таких приложений является, действительно например, MoviePlayer (MacVideoTunes): на первом этапе его установки пользователю предлагается запустить программу-инсталлятор без в действительности цифровой подписи. Удивительно затем — установить некий «оптимизатор», при этом пользователь лишен возможности сбросить необыкновенно соответствующий флажок, чтобы отказаться от инсталляции приложения. Не на шутку данный установщик, детектируемый Антивирусом Dr.Web как Trojan.Vsearch.8, с точки зрения своего функционала взаправду очень похож на Trojan.Downlite.1, однако вместо программы dev.Jack он реально дополнительно устанавливает на компьютер приложение takeOverSearchAssetsMac.app (Trojan.Conduit.1).

Во всех упомянутых случаях установщик осуществляет инсталляцию в систему полезной нагрузки, реализованной в виде файлов VSearchAgent.app, VSearchLoader.bundle, VSearchPlugIn.bundle, libVSearchLoader.dylib и VSInstallerHelper. Результатом всех этих манипуляций является появление в окне браузера навязчивой рекламы следующих типов: подчеркнутые ключевые слова, при наведении на которые курсора появляется всплывающее окошко с рекламой, небольшое окошко в левом нижнем углу с кнопкой Hide Ad, появление баннеров на страницах поисковых систем и на отдельных популярных сайтах.

astera.ru