Виявлено нове шкідливе програмне забезпечення для майнінгу криптовалюти на Mac
Виявлено нове шкідливе програмне забезпечення для майнінгу криптовалюти на Mac
Процес під назвою mshelper сильно витрачає потужності процесора та розряджає батарею.
Багато користувачів Mac повідомили про процес під назвою mshelper, який сильно витрачає потужності процесора та розряджає батарею. Як з'ясували дослідники з компанії Malwarebytes, цей процес пов'язаний із шкідливим програмним забезпеченням, призначеним для таємного майнінгу криптовалюти Monero (XMR).
Дослідники проаналізували mshelper, проте не змогли точно визначити, як саме він поширюється. Імовірно, зловмисники використовують фальшиві установники Adobe Flash Player, шкідливі документи або піратське програмне забезпечення.
За словами експертів, процес запускається файлом під назвою pplauncher і підтримується активним за допомогою демона com.pplauncher.plist, що може говорити про наявність у зловмисників прав суперкористувача на зламаній системі. Завантажувач написаний мовою програмування Golang і має порівняно великий розмір (3,5 Мб).
«Використання Golang призводить до значної витрати додаткових ресурсів. В результаті двійковий файл шкідливого файлу містить понад 23 тис. функцій, а його функціонал досить простий. Це може говорити про те, що людина, яка її створила, не дуже добре знайома з Mac», - пояснили дослідники.
Коли завантажувач створює процес mshelper, скомпрометований пристрій починає видобуток криптовалюти Monero.
«Це шкідливе ПЗ не є особливо небезпечним, якщо у Mac немає проблем з пошкодженими вентиляторами або забитими пилом вентиляційними отворами, які можуть спричинити перегрів. Хоча процес mshelper насправді є легітимним засобом роботи з програмним забезпеченням, він все одно має бути видалений разом із рештою шкідливого ПЗ», - зазначив фахівець.
Грунтуючись на повідомленнях жертв, антивірусні продукти спочатку або не виявили загрози взагалі, або не змогли її повністю видалити. В даний час компанії з безпеки, швидше за все, оновили свої продукти, щоб забезпечити повне видалення.
Крім того, користувачі можуть вручну видалити зловмисне програмне забезпечення, видаляючи два наступні файли та перезавантаживши пристрої:
/Library/LaunchDaemons/com.pplauncher.plist
/Library/Application Support/pplauncher/pplauncher
