Троян для iPhone и iPad с джейлбрейком крадет Apple ID и пароли

Исследовательская компания Palo Alto Networks обнаружила вредоносное приложение AppBuyer, нацеленное на пользователей iPhone и iPad. Троян крадет учетные записи Apple ID и пароли с мобильных устройств, подвергнутых процедуре джейлбрейка.
Имя разработчика AppBuyer, как и количество зараженных гаджетов, не называется. Как сообщили исследователи, вирус распространяется с расширением Cydia Substrate, после чего инициирует загрузку EXE-файла, генерирующего уникальный идентификатор UUID, скачивает специальный твик для кражи Apple ID и пароля, а также утилиту для входа в App Store и покупки приложений.
Изучив код и информацию отладки, которую оставляет вредоносное ПО, эксперты выяснили, что программа работает в фоновом режиме и обнаружить ее присутствие достаточно сложно. AppBuyer оставляет файлы в пяти местах:
/System/Library/LaunchDaemons/com.archive.plist
/bin/updatesrv
/tmp/updatesrv.log
/etc/uuid
/Library/MobileSubstrate/DynamicLibraries/aid.dylib
/usr/bin/gzip
Каким образом троян попадает на мобильные устройства пользователей в Palo Alto Networks пока не выяснили. Удаление файлов программы приводит к прекращению работы AppBuyer.
Всем пользователям джейлбрейкнутых iPhone и iPad эксперты безопасности рекомендуют пользоваться только проверенными источниками, так как велика вероятность, что заражение происходит при подключении в Cydia пиратских репозиториев.
AppBuyer – не первый вирус для iPhone и iPad, о котором стало известно в последнее время. Троян AdThief, обнаруженный в августе, заразил свыше 75 000 iOS-устройств с джейлбрейком. Этот вредонос распространяется с расширением Cydia Substrate, после чего изменяет рекламные объявления, появляющиеся в бесплатных приложениях. Деньги за показ объявлений, уплаченные разработчикам приложений, перенаправляются на счет хакеров.