XLoader窃密程序发展成跨平台变种，也能感染macOS

jackee

XLoader窃密程序发展成跨平台变种，也能感染macOS


& G8 X7 l( l" v- P- A
安全厂商CheckPoint发现，一只原只感染Windows平台的窃密程序现在发展成可跨Windows、macOS的版本，能窃取用户的浏览器、计算机登录密码等信息。

. t. K% E2 Y5 ?3 R一只名为XLoader的窃密程序现在当地下论坛上被不同人兜售。分析程序代码显示，它和近年一只热门窃密程序Formbook具有相同可执行文件。2016年出现的Formbook原本是一只键盘监听木马，但是后来被发现功能强大，被用于发动大规模垃圾邮件感染全球企业。一项研究显示，Formbook是过去12个月感染数第4多的恶意程序。但恶意程序作者却忽然无故终止销售Formbook，不久后它就化身为XLoader，去年10月在过去Formbook销售的论坛出现。




% I7 @7 E3 W6 X1 Q根据地下网站流传的XLoader销售广告，它是“现有最优异的僵尸网络下载器，具备密码回复功能”，广告宣称XLoader能从多种应用程序取得存储的密码，包括所有版本的Chrome、Firefox、Internet Explorer (IE)、Microsoft Edge、Opera、Outlook、Foxmail及Thunder bird等。
, [2 l! R" j5 U  S



+ ^6 o/ j! I9 J! z7 ^. S4 cCheckpoint指出，和Formbook相较，XLoader技术比起前一代的Formbook更为成熟，最大的不同是多了跨平台能力，能同时感染Windows、macOS计算机。此外，它还以新兴的“Malware-as-a-Service”提供服务，它具有集中管控的C&C基础架构，让背后的运营者能控制“客户”发送XLoader的作业。

+ I9 r7 L" U8 B6 _( ?9 M  ]根据销售公告，“客户”有1或3月租用方案可选择，Windows和macOS版本分别以49到129美元代价提供服务。销售者还发布免费的Java binder，可创建集成Mach-O和exe二进制档的JAR压缩文件。
) x* K3 N/ a5 D) I+ u8 c$ V; N
( M  Q% ?0 [- B/ B3 H3 P从去年10月开始到今年6月初，CheckPoint观察到Formbook/XLoader感染范围已多达69国，占了全世界超过1/3，其中以美国最多。
1 _, z* T, C9 t0 V
研究人员指出，XLoader非常狡猾，一般用户很难发现到。他们也相信，随着macOS计算机的普及，未来会成为更多恶意程序的目标。
# ^0 V7 V* z, B/ u
他们建议macOS用户使用Autorun功能检查/Users/“username”/Library/LaunchAgents文件夹中，是否有可疑、随机命名的文件，并尽快删除。
, |3 ]9 q, ?; F) L