Tác hại khi tải Photoshop, Final Cut Pro lậu về MacBook

Các bản lậu của Final Cut Pro có thể chứa mã độc, lợi dụng thiết bị Mac để khai thác tiền điện tử. Ảnh: Tech Crunch.

Công ty an ninh mạng Jamf Threat Labs mới đây tiếp tục tìm thấy phần mềm độc hại lợi dụng các thiết bị Mac của người dùng để khai thác tiền điện tử, hay còn gọi là cryptojacking, trong bản lậu của Final Cut Pro và Photoshop.

Dạng phần mềm độc này không mới, nhưng lần này được ẩn kỹ và không bị phát hiện bởi các ứng dụng bảo mật Mac.

Mac là mục tiêu hấp dẫn của phần mềm độc hại

Các loại tiền điện tử như Bitcoin ngày càng trở nên khó khai thác hơn, đòi hỏi nhiều tài nguyên GPU. Để có sức mạnh tính toán cần thiết mà không cần đầu tư thiết bị, nhiều kẻ xấu dùng phát tán phần mềm độc cryptojacking, lợi dụng vi xử lý trên các thiết bị laptop, máy tính trong tay người dùng thông thường.

Khi đã xâm nhập vào thiết bị, cryptojacking sẽ liên tục chạy dưới nền, khai thác tiền điện tử, làm máy giật, lag, hao pin. Phần mềm độc hại này thường được “gắn kèm” trong bản lậu của Photoshop, Logic Pro, Final Cut Pro.

Các phần mềm độc cryptojacking trên Mac mới bị phát hiện xuất phát từ Pirate Bay, trang tải phần mềm lậu nổi tiếng. Ảnh: 123rf.

Sức mạnh của các vi xử lý M1, M2 khiến thiết bị trở thành mục tiêu hấp dẫn của cryptojacking, Jamf cảnh báo. Thông thường, phần mềm độc hại sẽ không vượt qua được các phần mềm bảo mật tích hợp sẵn trên thiết bị Mac.

Tuy nhiên, mới đây Jamf Threat Labs đã tìm thấy một phần mềm độc hại khai thác tiền điện tử trên máy Mac mà không bị phát hiện.

Phần mềm độc ẩn sau Final Cut Pro, Photoshop lậu

“Trong quá trình theo dõi định kỳ các mối đe dọa, chúng tôi phát hiện XMRig, một công cụ dòng lệnh khai thác tiền điện tử, chạy dưới vỏ bọc của phần mềm chỉnh sửa video do Apple phát triển, Final Cut Pro”, các nhà phân tích từ Jamf cho biết.

Điều tra kỹ hơn cho thấy đây là một phiên bản Final Cut Pro độc hại, đã được sửa đổi để chạy XMRig trong nền. Nguồn là một tài khoản Pirate Bay nổi tiếng, thường xuyên chia sẻ bản lậu của Photoshop, Logic Pro và Final Cut Pro.

Phần mềm độc hại này còn có cách che giấu hoạt động trong trường hợp người dùng nghi ngờ khi thấy máy chạy chậm, lag và mở Activity Monitor để kiểm tra. Cứ 3 giây, phần mềm cryptojacking sẽ quét xem Activity Monitor có đang hoạt động hay không. Nếu có, nó sẽ chấm dứt tất cả các quy trình khai thác ngay lập tức.

Ngoài ra, các quy trình của phần mềm độc hại được đổi tên thành các quy trình thông thường được sử dụng bởi Spotlight. Vì vậy, qua Activity Monitor người dùng có thể sẽ không để ý có phần mềm độc đang chạy, kể cả khi nhìn thấy trong 3 giây trước khi quy trình biến mất.

Các chuyên gia cũng phát hiện cryptojacking tương tự ẩn sau một bản Photoshop lậu. Các phần mềm độc này nhiều lần né tránh được Gatekeeper, phần mềm quét ứng dụng độc hại trên MacOS, theo Jamf.

“Chúng tôi tiếp tục cập nhật XProtect để chặn các phần mềm độc hại này, bao gồm các biến thể cụ thể được nhắc đến trong nghiên cứu của Jamf”, Apple cho biết sau khi Jamf công bố phát hiện. Hãng cũng lưu ý Mac App Store là nơi an toàn nhất để tải phần mềm cho Mac.