WireLurker minaccia non solo iOS e Mac ma anche i PC Windows

Table Of Contents

• WireLurker per Windows
• Versione Windows considerata la variante più antica di WireLurker
• Come si diffonde WireLurker

WireLurker per Windows

I ricercatori di AlienVault hanno trovato una versione più vecchia di WireLurker che utilizza dispositivi Windows per diffondersi. Jaime Blasco di AlienVault Labs, che ha scoperto questa variante di WireLurker, l’ha segnalata a Palo Alto Networks Inc, che ha poi ripubblicato un nuovo rapporto sulla variante Windows di questo malware.

Il precedente documento di ricerca affermava che WireLurker utilizzava applicazioni OS X per infettare dispositivi iOS e non c’erano dettagli sulla versione Windows del malware.

Versione Windows considerata la variante più antica di WireLurker

La variante Windows di WireLurker è stata distribuita tramite Baidu YunPan (un servizio di archiviazione cloud pubblico di Baidu) dall’utente “ekangwen206”, ha detto Palo Alto Network nel loro rapporto.

Un totale di 247 file sono stati caricati da questo utente, che consistevano in 180 file eseguibili Windows e 67 applicazioni OS X, ed è stato caricato il 12 e 13 marzo, quasi un mese prima delle infezioni dell’App store Mayaidi. La maggior parte di questi file veniva diffusa tramite la versione pirata di app popolari come Facebook, Whatsapp, Instagram, Twitter, iBooks, iMovies, Calcolatrice, Keynote, Flappy Bird e altri, che contenevano WireLurker nascosto all’interno. Questi file sono stati scaricati un totale di 65.213 volte, di cui circa il 97,7% dei download erano per campioni Windows.

Come si diffonde WireLurker

Dopo che la vittima scarica ed esegue il file sul suo dispositivo Windows, le viene chiesto di scaricare iTunes da un sito ufficiale di Apple Cina. Se è già installato, l’interfaccia di iTunes mostra un messaggio “in attesa di connessione del dispositivo iOS” quando la vittima collega il suo dispositivo e installa la versione pirata dell’app iOS. Anche il malware viene installato, ma solo su dispositivi iOS jailbroken.

Il secondo è molto simile al suo discendente Mac OS X, dove invia i dati rubati allo stesso server di comando e controllo e utilizza l’App store Maiyadi per controllare gli aggiornamenti.

Palo Alto Networks ha già pubblicato aggiornamenti per Antivirus, ISP e altri fornitori di sicurezza per aggiornare i loro prodotti per la rilevazione di WireLurker.

WireLurker può anche essere rilevato utilizzando il codice open source rilasciato su Github https://github.com/PaloAltoNetworks-BD/WireLurkerDetector