كشفت كاسبرسكي عن برمجية حصان طروادة لخوادم الوكيل متطورة مصممة لاختراق نظام التشغيل macOS وتحول حاسوب الضحية إلى خادم وكيل. حيث تنتشر هذه البرمجية الحديثة من خلال توزيع إصدارات مقرصنة من برامج مشروعة، مما يعرض الباحثين عن وسائل بديلة للحصول على التطبيقات لخطر أمني كبير.
تعمل حصان طروادة لخوادم الوكيل هذه عن طريق التنكر كبرنامج مشروع أثناء تثبيتها. وبمجرد اختراقها نظام الضحية، تنشئ البرمجية خادم وكيل بشكل سري، مما يسمح لمصادر التهديد بإعادة توجيه تدفق البيانات في الشبكات لتمر عبر الجهاز المصاب. تنتشر هذه البرمجية عبر حزم تثبيت من نوع PKG، بدلاً من ملفات صورة القرص المعيارية، وهذا يسمح لها بتنفيذ إجراءات اعتباطية قبل التثبيت وبعده.
اكتشف تحليل الخبراء أن برمجية حصان طروادة هذه تستخدم بروتوكول (DNS-over-HTTPS (DoH داخل ملف WindowServer، مما يؤدي إلى إخفاء اتصالها بخادم القيادة والتحكم (C&C). إذ يقوم هذا البروتوكول بحماية طلبات DNS، مما يزيد من قدرات البرمجية الخبيثة على التخفي.
علاوة على ذلك، تستخدم هذه البرمجية بروتوكول WebSocket للاتصال مع خادم القيادة والتحكم، وهذا ما يميز البرمجية عن غيرها، فليس من عادة برمجيات حصان طروادة لخوادم الوكيل أن تستخدم هذا البروتوكول للاتصال. يسمح استخدام بروتوكول WebSocket للبرمجية بتلقي الأوامر في الوقت الفعلي من مصادر التهديد، وبالتالي يمكّنها من التكيف مع الظروف المتغيرة وتجنب الاكتشاف بشكل أكثر فعالية.
تعرّف باحثو كاسبرسكي أيضاً على عدة عينات مصممة لاستهداف نظامي تشغيل Android وWindows إلى جانب النسخة التي تستهدف نظام macOS. إذ تعمل هذه النسخ بمثابة برمجيات حصان طروادة لخوادم الوكيل أيضاً، ويتم توزيعها بصحبة البرامج المقرصنة.
يقول «سيرجي بوزان»، باحث أمني لدى كاسبرسكي، عن هذا التهديد: «اعتاد المجرمون السيبرانيون أن يستغلوا بحث المستخدمين عن برامج مجانية لنشر إصدارات مقرصنة من هذه البرامج محملة بالبرمجيات الخبيثة. ويؤكد اكتشافنا الجديد على حقيقة هذا التهديد، لا سيما باعتبار تمتع برمجيات حصان طروادة لخوادم الوكيل بقدرة متقدمة على إخفاء أنشطتها. وللحماية منها، يجب على مستخدمي الأجهزة العاملة بنظام macOS أن يعتمدوا على برامج أمنية قوية، وتوخي الحذر عند تحميل البرامج، والالتزام بالمصادر الرسمية للبرامج، وتجنب تحميل البرامج المقرصنة.»
