Nueva variante del troyano para Mac, ahora en el Adobe Photoshop CS4 pirata

Intego ha descubierto una nueva variante del troyano iServices que la empresa descubrió el 22 de Enero del 2009.

Este nuevo troyano, que Intego ha denominado OSX.Trojan.iService.B, al igual que la versión anterior, se encuentra en las copias ilegales que circulan por las redes BitTorrent. Esta vez, en la versión para Mac de Adobe Photoshop CS4. A diferencia de la versión anterior, el instalador del programa está limpio, pero el troyano se encuentra en un serial-crack necesario para usar la aplicación “sin pagar“.

Después de descargar el Photoshop, los usuarios ejecutan un crack para poder utilizarlo. Dicho crack contiene una aplicación ejecutable que extrae unos datos que se guardan en /var/tmp, un directorio que no se elimina cuando el equipo es reiniciado. (Si el usuario ejecuta el crack de nuevo, el troyano crea un nuevo ejecutable con un nombre diferente al azar, garantizando así que sea más difícil de eliminar)

El crack, una vez ejecutado, pide la contraseña de administrador, con lo que consigue nuevamente privilegios de root. Copia el ejecutable a /usr/bin/Divx y a continuación, crea un “startup item” en /System/Library/StarupItems/Divx. El troyano comprueba si se ha puesto en marcha con privilegios de root y guarda el hash de la contraseña en /var/root/.Divx. Acto seguido, a través de un puerto TCP aleatorio envía repetidas peticiones de conexión a dos direcciones IP diferentes.

Para finalizar, el crack cumple su función y rompe la protección anti-copia de Photoshop, de manera que el usuario pueda utilizarlo y no sospeche nada en absoluto.

Dado que el software malicioso se conecta a un servidor remoto a través de internet, su creador tendrá la capacidad de conectarse con el equipo infectado y podrá realizar varias acciones de forma remota.

Los equipos infectados la semana pasada por la versión anterior de este troyano, fueron utilizados para lanzar un DDoS (Distributes Denial of Service) a diferentes páginas web. La nueva variante del troyano, ya que trabaja de una forma muy similar, probablemente trate de realizar acciones similares.

A pesar de que Intego avisó de la alerta de seguridad con la aparición en escena del primer troyano, y a pesar de la repercusión en muchos blogs y webs de todo el mundo, la empresa advierte de que al menos 1000 personas más descargaron iWork 09 infectándose con el troyano. Intego considera la amenaza como de “riesgo grave“

Fuente Historias de Queso