Nuovo malware per Mac si spaccia per Flash Player e inganna l'utente

I ricercatori di sicurezza di Intego hanno scoperto un nuovo malware per Mac che riesce a indurre e raggirare l'utente affinché scavalchi le protezioni di macOS Catalina e in particolare la nuova funzionalità funzionalità all'interno di Gatekeeper chiamata app notarization: le app che non sono state verificate come provenienti da fonti sicure non vengono aperte direttamente, e in questo modo l'utente viene scoraggiato dall'aprire app non verificate.

Intego ha individuato un nuovo Trojan per macOS che si sta diffondendo tramite tramite risutlati di ricerca Google che reindirizzano l'utente verso pagine web contraffatte che segnalano la presenza di una versione deprecata di Flash Player. Il malware viene recapitato come un'immagine disco .dmg mascherata da installer di Adobe Flash. Una volta che l'immagine disco viene monata, mostra istruzioni che guidano l'utente nel processo di installazione.

Si tratta di una tecnica che Intego definisce come "insolita": il malware chiede espressamente all'utente di fare click con il tasto destro e scegliere il comando "Apri" dal menu contestuale invece di effettuare un nomale doppio click. Le impostazioni di Gatekeeper prevedono che questa azione mostri una finestra di dialogo con il pulsante "Apri". Normalmente quando si esegue un doppio click su un file non verificato il sistema operativo non ne permette l'apertura e il processo è reso più complesso proprio per dissuadere l'utente: sarebbe infatti necessario recarsi nelle Preferenze di Sistema alla voce Sicurezza per scavalcare le contromisure di Gatekeeper.

Una volta che l'utente apre l'installer, viene eseguito uno script bash shell ed estratto un archivio .zip protetto da password che contiene un assortimento di malware e adware, per lo più versioni re-ingegnerizzate di malware macOS già conosciuti come Shlayer o Bundlore.

Nonostante Adobe abbia dichiarato ufficialmente che Adobe Flash raggiungerà lo status di End of Life il 31 dicembre 2020, Intego osserva che questi malware camuffati da installer Flash riescono comunque a centrare i loro obiettivi. Intego sottolinea poi che i domini youdontcare.com, display.monster, yougotupdated.com e installerapi.com sono associati a questa campagna: qualsiasi traffico da e verso questi domini dovrebbe essere considerato come un possibile segnale di infezione già avvenuta.