Trojan-Downloader.OSX.Flashfake

Technické údaje

Rodina malwaru pro Mac OS X. První verze tohoto typu hrozby byla zjištěna v září 2011. V březnu 2012 bylo více než 600 000 počítačů na světě nakaženo flashbackem. Infikované počítače byly skombinovány v botnetu, které umožnilo počítačovým zločineckům na jejich instalaci nainstalovat další škodlivé moduly. Jeden z modulů je známý tím, že vytváří falešné výsledky vyhledávače, zobrazuje falešné výsledky pro uživatele a generuje zisk pro kybernetické zločiny prostřednictvím "podvodného kliknutí". Je docela možné, že kromě zablokování provozu vyhledávačů mohou kyberzločinci nakládat do infikovaných počítačů další škodlivé moduly – např. Pro krádež dat nebo šíření spamu.

Trojský program, který stahuje další škodlivé programy z internetu a spouští je na poškozeném počítači bez znalosti uživatele. Program je aplikace Mac OS X (Mach-o). To je mezi 19 384 a 200 876 bajtů ve velikosti. Je napsán v jazyce C ++.

Užitné zatížení

Po spuštění Trojan pokusy nahrát další škodlivé moduly. Každých 24 hodin se Trojan pokouší připojit k 30 lokalitám a vytváří 5 doménových jmen, zatímco dalších 25 je obsaženo v těle samotného škodlivého programu. Jedna z těchto lokalit (náhodně vybraná) je hostitelem serveru C & C botnetu, jak ho nasazují kyberní zločinci. Domény mají jména, jako například:

jobijoolkfip4oasdkf.com
ithfmmcoo400dmsddditofdl.com
utu9nnmkrogjfldoritvz.com
999rjjfnvmvciwepoqwejdsadkf.com
ighrueokdhfcnnsjwwqqllxz.com
itgii5fmmjmsppperujvmsdkkff.com
jtierodoxzwerkolun.com
iruifjckdlfqwexzcnvdkffd.com
all-nightmexicansoftstore.com
callmetonight911.com
oversellingresourcestoday.com
fasttrackanddeliverytoyourdoors.com
trustedsoftappstore.com
fantastischappstore.com
megastoreappsstore.com
catholicappstorecloud.com
bestcatholicianappstoretoday.com
onlinesoftstoreofweekend.com
knockoutpricesappstoreeveryday.com
svupsvc.com
ajovgdekxrmw.com
ggatocowtonwpn.com
wxsrnrskapelhy.com
ouspjintgjsrw.com 

Trojan uloží stažené moduly do následujících složek aplikací:

/Applications/Safari.app/
/Applications/Firefox.app/
atd.

Stažené soubory mohou být zašifrovány pomocí UUID zařízení. Pokud je úspěšně zaveden, trojan zašle oznámení svým vlastníkům na adresy:

http://adobesoftwareupdate.com/counter/
http://78.46.139.211/jcounter/    
atd.