Поддельные объявления Toss Securities на Facebook* доставляли на macOS вредоносный установщик под видом торгового приложения

Поддельная страница повторяет корпоративный сайт почти полностью. Совпадают логотип, цвета, шрифты, пять пунктов меню, переключатель языка и ссылка для связи. Отличаются лишь элементы, подталкивающие к загрузке: кнопка скачивания, таймер обратного отсчёта и обещание вознаграждения. Инструкция по установке разбита на три шага. На первом объясняется, как обойти защиту macOS, если система заблокирует запуск пакета. Второй заранее предупреждает о запросе пароля или подтверждении через Touch ID и снижает подозрительность пользователя. Реклама шла не только от имени самой Toss Securities. Часть объявлений размещали от имени криптовалютного издания и известной корейской газеты, а картинки выглядели как новостные заметки. Один макет показывал рабочий стол Windows, поэтому кампания может затрагивать и эту систему. При этом в одном из вариантов на карточке объявления демонстрировался официальный адрес компании. Это ничего не гарантирует: отображаемая ссылка способна отличаться от настоящей, а проверяющим и пользователям могут показывать разные страницы. Все три варианта продвигали через разные аккаунты и разные адреса, так что блокировка одной площадки проблему не решает.

По данным Logpresso Security Operations Team, установочный пакет после копирования файлов запускал скрипт, скачанный с внешнего сервера. Подпись или контрольную сумму никто не проверял. Скачанный код сразу уходил на выполнение, а затем временный файл удалялся, чтобы не оставить следов. Ошибки загрузки скрывались, и установка всё равно отчитывалась как успешная. Все действия шли с правами администратора после ввода пароля. Такой установочный пакет называют загрузчиком: сам он данные не похищает, а доставляет и запускает чужой код. Вторая часть этого кода ко дню анализа оказалась недоступна, сервер отвечал ошибкой. Поэтому конечные возможности полезной нагрузки установить не удалось. Зато подменить её операторы могут в любой момент.

Приложение, попавшее на компьютер, не имеет отношения к бренду, от имени которого распространялось. Внутреннее имя и идентификаторы у него нейтральные. Поэтому при поиске следов заражения стоит искать незнакомую программу, а не приложение с названием Toss Securities. Опасность сосредоточена в наборе разрешений: полный доступ к диску, запись экрана, отслеживание нажатий клавиш, управление другими приложениями. Для просмотра котировок и оформления сделок ни одно из них не нужно. Три разрешения вместе открывают доступ к документам, переписке, содержимому открытых окон и всему, что набирает человек на клавиатуре. Встроенный интерфейс переведён на одиннадцать языков, включая корейский и русский. Код умеет открывать системные настройки, добавлять программу в списки разрешений и заполнять поле пароля в системном окне подтверждения. Отдельная функция создаёт невидимый виртуальный дисплей, чтобы эти действия оставались вне поля зрения владельца. Кроме того, приложение мешает подключению отладчика, что затрудняет разбор его поведения.

Apple отозвала сертификат разработчика и подтверждение нотаризации, то есть проверку программы перед допуском к запуску. В момент распространения они были действительны, и потому встроенная защита macOS установку не блокировала. Антивирусы тоже не помогали: файл не определял ни один из 61 движка, а поддельный сайт не вызывал претензий у 89 сервисов репутации. Один и тот же файл распространялся под восемнадцатью разными именами, поэтому блокировка по имени бесполезна. Сборку подписали 26 августа, поддельный сайт зарегистрировали 1 сентября. Активность в сети шла как минимум с 26 августа по 6 сентября. К 9 сентября сайт перестал отвечать.

Целевая аудитория кампании - частные пользователи, однако риски затрагивают и компании. Учётные данные, сохранённые в браузере, переписка, документы и доступы к финансовым счетам могли попасть в чужие руки. Под угрозой и сведения о криптовалютных кошельках. Владельцам заражённых устройств стоит отключить их от сети, проверить списки разрешений и отозвать права, выданные незнакомым программам. Пароли меняют с другого устройства, многофакторную аутентификацию перевыпускают заново. Для брокерских и банковских счетов это особенно важно, а о подозрительных операциях нужно сразу сообщать в банк. Полное восстановление системы надёжнее простого удаления приложения: посторонний код выполняется ещё на этапе установки, до первого запуска программы.

Организациям стоит заблокировать связанные домены на уровне DNS и межсетевого экрана, а не только через прокси. Загрузчик обходит прокси-настройки намеренно, поэтому частичная блокировка не сработает. Надёжнее опираться на постоянные признаки: нейтральное имя приложения, его идентификатор, идентификатор разработчика в подписи и поведение установщика, который скачивает и запускает сторонний код. Такие правила подключают к системам обнаружения и реагирования на конечных точках (EDR - решения, которые отслеживают события на рабочих станциях и серверах). Сотрудников предупреждают: сайт, предлагающий отключить защиту, - это мошенничество. О произошедшем сообщают пострадавшей компании и в корейское агентство по интернет-безопасности, а сами объявления - платформе.

Кампания не нацелена на конкретных людей. Платная реклама показывает приманку широкой аудитории, и объявления проходят модерацию. Операторы меняют подставные лица, домены и имена файлов, поэтому блокировка отдельных адресов даёт лишь временный эффект. Устойчивый признак один: установочный пакет обращается к постороннему серверу и просит доступ к экрану, клавиатуре и диску без деловой необходимости.

* Компания Meta и её продукты (включая Instagram, Facebook, Threads, Meta AI) признаны экстремистскими, их деятельность запрещена на территории РФ.