Исследователь компании Cybereason Labs Амит Серпер обнаружил новый вариант рекламного ПО Pirrit, разработанного для операционных систем семейства OS X, сообщает Securitylab. Программа создает прокси-сервер на инфицированных Mac и внедряет рекламные баннеры на просматриваемые пользователями веб-страницы. По словам Серпера, пока OSX.Pirrit ведет себя довольно безобидно и распространяет только рекламу, однако потенциально может представлять угрозу для безопасности компьютера.

«Сейчас OSX.Pirrit считается угрозой низкого уровня, однако технически операторы рекламного ПО имеют полный доступ к целевым системам. Вместо того, чтобы заваливать вас рекламой, они могут легко получить доступ к персональным данным и корпоративной информации или установить кейлоггер, регистрирующий нажатия клавиш при вводе логина/пароля для банковской учетной записи», – написал Серпер в своем блоге.

Злоумышленники внедряют OSX.Pirrit в фальшивые обновления Adobe Flash, а также пакеты Microsoft Office 2016 и Adobe Photoshop CC. Единственным способом обнаружить присутствие рекламного ПО на системе является проверка всех работающих в OS X процессов. Эксперт разместил на GitHub скрипт, предназначенный для удаления рекламного ПО.

По словам исследователя, OSX.Pirrit не использует эксплоиты для компрометации Mac. Инфицирование осуществляется при помощи методов социальной инженерии, обманом заставляющих пользователей предоставить свои учетные данные для загрузки фальшивого обновления, возможно для Flash. Обнаруженный Серпером образец был написан с использованием Qt Framework и подписан валидным сертификатом Apple.

По мнению эксперта, автором программы является человек, владеющий навыками работы с Linux, но не особо разбирающийся в тонкостях разработки OS X.