Эксперты впервые обнаружили эксплойты для Mac OS X

Компания «Doctor Web» обнаружила уязвимости, используя которые, можно заразить вредоносными программами устройства, работающие под управлением платформы Mac OS X. В частности, злоумышленникам удалось использовать известные уязвимости Java с целью распространения угроз для данной платформы.

Первыми киберпреступниками, которые использовали уязвимости Java для заражения ПК под управлением Mac OS X, стали создатели троянской программы BackDoor.Flashback, распространяемой через зараженные сайты.

Установщик данного вредоносного ПО маскируется под программу-инсталлятор Adobe Flash Player - пользователю Mac OS X предлагается загрузить и установить архив, содержащий файл с именем FlashPlayer-11-macos.pkg (для других ОС загрузка не выполняется). После запуска установщик пытается скачать с удаленного сайта основной модуль троянца, и, если это не удается, то ПО прекращает свою работу.

Теперь злоумышленники пошли другим путем: при открытии инфицированного сайта выполняется проверка user-agent пользовательского компьютера. И если запрос сделан из-под MacOS с определенной версией браузера, пользователю отдается веб-страница, загружающая несколько java-апплетов. Сама страница демонстрирует в окне браузера надпись «Loading.... Please wait…».

Модуль с именем rhlib.jar использует уязвимость CVE-2011-3544. Он помещает в папку /tmp/ исполняемый файл .sysenterxx, выставляет ему необходимые атрибуты и запускает на выполнение.

Запущенное приложение проверяет, присутствуют ли в операционной системе файлы
/Library/LittleSnitch
/Developer/Applications/Xcode.app/Contents/MacOS/Xcode
и, если они не обнаружены, пытается загрузить основной модуль троянской программы BackDoor.Flashback.26. В противном случае загрузчик просто удаляет себя.

Модуль clclib.jar использует уязвимость CVE-2008-5353, а ssign.jar представляет собой дроппер Java.Dropper.8, подписанный недействительной подписью (расчет на то, что пользователь добавит эту подпись в список доверенных и тем самым разрешит выполнение кода).