Nuovo trojan per Tiger e Leo

[ShadowThrone]

fonte: http://www.securemac.com/


Stando a quanto dichiarato da SecureMac, sarebbero state scoperte numerose varianti di un Trojan per Mac OS X efficaci sia su Tiger che su Leopard.

Il Trojan è attualmente distribuito attraverso il sito dell’hacker ma il timore è che possa presto propagarsi attraverso iChat e Limewire. Riconoscere il file malevolo, almeno per il momento, è piuttosto facile: si presenterebbe come ASthtv05 (60 KB) compilato come AppleScript e AStht_v06 (3,1 MB) nella forma di applicazione. Il Trojan permette l’accesso remoto al sistema e può rubare la password di amministratore e quella utente; inoltre, sarebbe in grado di registrare le combinazioni di tasti e di permettere l’accesso ai documenti condivisi.

Il Trojan sfrutta un bug una feature di Apple Remote Desktop che permette di farlo girare come amministratore e, una volta attivato, si aggiunge automaticamente agli elementi di login. Per farlo partire la prima volta, ovviamente, è necessario l’intervento dell’utente il quale deve prima scaricarlo ed infine avviarlo. Il consiglio di SecureMac, manco a dirlo, è di procedere subito all’aggiornamento del proprio anti-spyware MacScan, venduto a 29,99$. Per chi desiderasse tentare un approccio più “casareccio”, è possibile attuare qualche piccolo stratagemma.

Facendo copia/incolla nel Terminale della stringa che segue, verranno cambiati i privilegi del bundle dell’applicazione ARDAgent e ciò eviterà che il Trojan possa attivarsi. Tenete presente, però, che al primo aggiornamento - o alla prima riparazione dei privilegi - il problema si ripresenterebbe, ed inoltre potrebbero manifestarsi degli inconvenienti nell’uso del Desktop Remoto.

sudo chmod -R u-s /System/Library/CoreServices/RemoteManagement/ARDAgent.app

Un’altra soluzione, in attesa che Apple si decida a risolvere il problema, è di rimuovere o rinominare ARDAgent.app, ma è una via percorribile solo nel caso non abbiate necessità di essere controllati in remoto. Altrimenti, e forse è la considerazione più ovvia, il consiglio è di stare semplicemente attenti a ciò che si scarica e si esegue, consapevoli che nessuna Sistema Operativo è perfetto ed esente da minacce.

[nandox80]

grazie per la segnalazione....

[Max(IT)]

non è facilissimo avere dei danni da un trojan del genere, ma senza dubbio c' è una falla di sicurezza in OSX che Apple deve chiudere al più presto, perchè un' applicazione con il SUID settato non deve essere scriptabile in quel modo.
Certo bisogna sempre stare attenti a cosa si manda in esecuzione.

[Cisto]

La soluzione su chmod funziona correttamente, come è giusto che sia; stavo provando un po' con
osascript -e 'tell app "ARDAgent" to do shell script "whoami"';

la risposta dopo il cambio torna ad essere quella giusta (prima dava root).

[patanfrana]

Ma a rigor di logica funziona solo sui Mac in cui è installato Apple Remote Desktop, o sbaglio e ce l'abbiamo tutti di default?

[VICIUS]

Originariamente inviato da patanfrana

Ma a rigor di logica funziona solo sui Mac in cui è installato Apple Remote Desktop, o sbaglio e ce l'abbiamo tutti di default?

Dovrebbe essere installato di default su tutti i mac.

Originariamente inviato da ShadowThrone

... il consiglio è di stare semplicemente attenti a ciò che si scarica e si esegue, consapevoli che nessuna Sistema Operativo è perfetto ed esente da minacce.

come non quotare questa frase!

[patanfrana]

Originariamente inviato da VICIUS

Dovrebbe essere installato di default su tutti i mac.

Infatti, ho controllato proprio ora.. allora visto che non mi serve, la rinomino.. ma come, visto che mi richiede i privilegi?

C'è una stringa da terminale?

[VICIUS]

Originariamente inviato da patanfrana

Infatti, ho controllato proprio ora.. allora visto che non mi serve, la rinomino.. ma come, visto che mi richiede i privilegi?

C'è una stringa da terminale?

Non serve rinominarlo. Basta dare il comando che ha riportato ShadowThrone nel primo messaggio e risolvi il problema di sicurezza.

[patanfrana]

Sì, ma al primo aggiornamento o riparazione tornerà come prima a quanto ho capito.. quindi meglio rinominarlo, visto che tanto non lo uso..

[sirus]

Originariamente inviato da Cisto

La soluzione su chmod funziona correttamente, come è giusto che sia; stavo provando un po' con
osascript -e 'tell app "ARDAgent" to do shell script "whoami"';

la risposta dopo il cambio torna ad essere quella giusta (prima dava root).

Teoricamente non è sbagliato che il sistema di controllo remoto vada in esecuzione con i privilegi di amministrazione. E' utile in ambiente di rete.
Quello che è sbagliato è che non ci sia una limitazione sui messaggi che si possono inviare ad un'applicazione che viene eseguita con SUID root come ha fatto notare Max(IT).

[Max(IT)]

mi aspetto che Apple rilasci una patch di sicurezza nel prossimo futuro