6 виправлень для видалення Gmera Trojan Mac Virus з Mac

Дослідники виявили «Gmera Trojan Mac», трояна, націленого на криптодилерів, які використовують Apple Mac. Зловмисне програмне забезпечення заражає користувачів, імітуючи авторитетні веб-сайти з подібним доменом і користувальницьким інтерфейсом, щоб обманом змусити необережних користувачів відвідати їх.

Згідно з повідомленням ESET, дослідники компанії з кібербезпеки ESET виявили зловмисне програмне забезпечення, яке може викрадати дані за допомогою «файлів cookie браузера, крипто-гаманців і скріншотів».

Що таке троян Gmera для Mac і як він працює?

GMERA — це зловмисне програмне забезпечення, яке маскується під Stockfolio, легальний торговий інструмент для користувачів Apple Mac. Згідно з дослідженнями, існує два різновиди цього шкідливого програмного забезпечення, один з яких ідентифіковано як троян. Перший відомий як MacOS.GMERA.A, а другий відомий як троян. macOS.GMERA.B.

Кіберзлочинці часто використовують GMERA, щоб викрасти дані та завантажити їх на контрольований ними веб-сайт. Видаліть GMERA якнайшвидше, щоб уникнути пошкоджень, спричинених цією інфекцією.

Типи

Trojan.MacOS.MERA.A

Троян Gmer Mac — вигаданий персонаж. macOS.MERA. Інформація про користувача, як-от імена користувачів, IP-адреси, програми в папці Applications і файли в каталогах /Documents і /Desktop, збираються у зразку.

• Він також фіксує дату встановлення ОС, графіку та відображає інформацію, інформацію про бездротове з’єднання та знімки екрана.
• Він надсилає інформацію на сервер, яким керують кіберзлочинці.
• Викрадені дані/деталі можуть містити конфіденційну інформацію, яка використовується для заробітку різними способами.
• Отримання особистої інформації може призвести до порушення конфіденційності, крадіжки особистих даних, фінансових втрат та інших проблем.

Trojan.MacOS.GMERA.B

Варіант Trojan.MacOS.GMERA.B (Gmera Trojan Mac) збирає таку інформацію, як ім’я користувача та IP-адреса жертви, а також низку інших файлів.

• Один служить «механізмом збереження», що дозволяє GMERA продовжувати працювати навіть після перезавантаження системи, перезавантаження, виходу з системи тощо.
• Після запуску таке програмне забезпечення, як GMERA, ховається за фактичним додатком для торгівлі Stockfolio та працює у фоновому режимі.
• Негайно вживайте заходів, щоб позбутися від інфекції.

Працює

Оператори Gmera Trojan Mac імітують законні веб-сайти для розповсюдження зловмисного програмного забезпечення. Ці веб-сайти вражаюче ідентичні та здаються непідготовленому оку справжніми.

Хоча дослідники не мали жодного уявлення про те, куди поширюється зловмисне програмне забезпечення, Каттана попередив користувачів про зловмисну ​​службу імітації, яка заманює їх завантажити троян.

Однак дослідники не змогли пов’язати кампанію зі шкідливим програмним забезпеченням GMERA. За словами дослідників, інфекція також поширювалася через трояни.

Симптоми

Трояни призначені для проникнення на комп’ютер жертви та залишаються непоміченими непоміченими, тому на зараженому ПК немає явних ознак. Інфіковані вкладення електронної пошти, шахрайський веб-маркетинг, соціальна інженерія та злом програмного забезпечення є зловмисними варіантами законних програм Stockfolio.

Джерело інфекції

Під час останніх атак було виявлено, що розробники вірусу GMERA використовували шкідливу версію реального додатку для торгівлі біткойнами Kattana.

• Творці шкідливої ​​програми GMERA перетворили поточну Kattana на шкідливу програму.
• Вони також розробили веб-сторінки для шкідливих програм для торгівлі криптовалютою для користувачів Apple Mac.
• Швидше за все, оператори особисто зв’язувалися з передбачуваними жертвами і переконали їх встановити шкідливе програмне забезпечення.
• Файли cookie браузера, історію веб-перегляду та паролі криптовалютного гаманця були викрадені за допомогою зворотних оболонок.

Кроки для видалення Gmera Mac Trojan

1. Видаліть файли та папки, пов’язані з трояном Gmera Mac

• Натисніть піктограму Finder на панелі меню. Виберіть «Перейти», а потім «Перейти до папки…».
• Шукайте підозрілі та ненадійні файли, створені шкідливим програмним забезпеченням, у папці /Library/LaunchAgents.

• Знайдіть усі нещодавно завантажені файли в папці Launch Agent і перемістіть їх у папку Trash.

• “myppes.download.plist”, “mykotlerino.Itvbit.plist”, “installmac.AppRemoval.plist”, “kuklorest.update.plist” тощо – це деякі приклади файлів, створених зловмисником веб-переглядача або рекламним ПЗ.
• Виявлення та видалення файлів рекламного ПЗ у папці підтримки «/Library/Application».
• Введіть «/Library/Application Support» на панелі «Go To Folder…».
• Знайдіть підозрілі нещодавно додані каталоги в папці «Підтримка програм».
• Якщо ви знайдете будь-які з них, наприклад «NicePlayer» або «MPlayerX», перемістіть їх у папку «Кошик».
• Знайдіть у папці /Library/LaunchAgent файли, створені шкідливим програмним забезпеченням.
• Якщо ви знайшли будь-які підозрілі файли, ви повинні знайти їх і перемістити в папку Кошик.
• Знайдіть у папці /Library/LaunchDaemons файли, створені шкідливим програмним забезпеченням.
• У полі Перейти до папки введіть /Library/LaunchDaemons.
• Знайдіть у нещодавно відкритій папці «LaunchDaemons» будь-які підозрілі файли, які нещодавно додали, і перемістіть їх у папку «Кошик».

2. Видаліть Gmera з інтернет-браузерів

Видаліть сумнівні та шкідливі розширення з Safari.

• Відкрийте браузер «Safari» з «Рядка меню». У спадному меню виберіть «Safari», а потім «Налаштування».
• Виберіть «Розширення», які ви нещодавно встановили, у вікні налаштувань, яке відкриється.
• Усі ці розширення мають бути розпізнані, і ви повинні натиснути кнопку «Видалити» поруч із ними, щоб видалити їх. Якщо ви все ще не впевнені, ви можете видалити всі розширення з браузера Safari, оскільки жодне з них не потрібне для належної роботи браузера.
• Ви можете скинути налаштування браузера Safari, якщо ви продовжуєте отримувати небажані переспрямування веб-сторінок або нав’язливу рекламу.

Скинути Safari

• Виберіть «Налаштування» в меню Safari.
• Установіть для розширення значення «Вимк.» на вкладці «Розширення». Завдяки цьому параметру встановлені розширення в Safari вимкнено.
• Виберіть вкладку «Загальні» в меню «Налаштування». Замініть домашню сторінку за умовчанням на бажану URL-адресу.
• Перегляньте налаштування постачальника за замовчуванням для пошукових систем. Виберіть вкладку «Пошук» у полі «Налаштування» та потрібну пошукову систему, наприклад «Google».

Очистити кеш у браузері Safari

• Виберіть вкладку «Додатково» та «Показати меню розробки на панелі меню» у вікні «Налаштування».
• Виберіть «Очистити кеш» у меню «Розробка».
• Очистіть історію перегляду та дані веб-сайту. Виберіть «Очистити історію та дані веб-сайту» в меню «Safari».
• Після цього виберіть «Вся історія», а потім «Очистити історію».

Mozilla Firefox: Видалення небажаних і шкідливих плагінів

• Додатки Gmera необхідно видалити з Mozilla Firefox.
• Запустіть веб-браузер Mozilla Firefox. У верхньому правому куті екрана натисніть кнопку «Відкрити меню».
• У меню, що відкриється, виберіть «Додатки».
• Виберіть «Розширення» зі спадного меню, щоб переглянути список усіх нещодавно встановлених доповнень.
• Виберіть усі сумнівні додатки та натисніть кнопку «Видалити» поруч із ними, щоб видалити їх.

Скинути параметри Mozilla Firefox

Якщо ви хочете «перезавантажити» браузер Mozilla Firefox , виконайте наведені нижче інструкції.

• Відкрийте браузер Firefox Mozilla і перейдіть у верхній лівий кут екрана до кнопки «Firefox».
• Виберіть «Інформація про усунення несправностей» у підменю «Довідка» в новому меню.
• Натисніть кнопку Reset Firefox на екрані Troubleshooting Information.
• Вибравши опцію «Скинути Firefox», ви підтверджуєте, що бажаєте скинути налаштування Mozilla Firefox до заводських налаштувань. Браузер перезапуститься, а налаштування буде скинуто до заводських.

Google Chrome: Видалення небажаних і шкідливих розширень

• Відкрийте браузер Chrome і виберіть «Меню Chrome» у спадному меню. У меню виберіть «Інші інструменти», а потім «Розширення».
• Знайдіть усі нещодавно встановлені додатки та розширення на вкладці Розширення.
• У спадному меню виберіть «Кошик». Будь-який сторонній плагін не є необхідним для безперебійної роботи браузера.

Скинути Google Chrome

• Відкрийте браузер, перейдіть у верхній правий кут вікна та клацніть панель із трьома рядками.
• Виберіть «Показати додаткові параметри» внизу вікна, що відкриється.
• Прокрутіть униз щойно створеного вікна та виберіть «Скинути налаштування браузера».
• У вікні «Скинути налаштування браузера», що відкриється, натисніть кнопку «Скинути».

3. Видаліть або видаліть заражений файл

Троян потрапив через файл, який ви завантажили, або програму чи розширення, які ви встановили з ненадійного джерела. Цілком можливо, що просте видалення може вирішити проблему, але це далеко не так, враховуючи, наскільки важко знищити шкідливе програмне забезпечення.

Використовуйте LaunchPad на Mac

• Панель запуску можна відкрити, клацнувши її в Dock або відкривши її з папки Applications.
• Ви також можете затиснути трекпад великим і трьома пальцями.
• Якщо програма не задокументована в Launchpad, введіть її назву в рядок пошуку. Проведіть двома пальцями праворуч або ліворуч по сенсорній панелі, щоб відкрити наступну або попередню сторінку.
• Натисніть і утримуйте будь-яку програму, доки вона не почне ворушитися, утримуючи клавішу Option.
• Біля програми, яку потрібно видалити, натисніть кнопку «Видалити», а потім підтвердьте, натиснувши «Видалити».
• Програмне забезпечення негайно видаляється. Програми, які не показано, не завантажено з App Store або потрібні для вашого Mac.
• Щоб видалити програму, отриману не з App Store, використовуйте Finder замість App Store.

Щоб видалити програму, використовуйте Finder.

• Знайдіть програму в Finder. Основна частина програм знаходиться в папці «Програми», доступ до якої можна отримати, вибравши «Програми» на бічній панелі будь-якого вікна Finder.
• Ви також можете використовувати Spotlight для пошуку програмного забезпечення. Утримуйте клавішу Command () і двічі клацніть її в Spotlight.
• Виберіть програму та перетягніть її до кошика за допомогою «Файл» > «Перемістити в кошик».
• Кошик з’явиться в macOS Dock.
• Використовуйте ім’я облікового запису адміністратора та пароль на Mac, якщо потрібні ім’я користувача та пароль. Швидше за все, це ім’я користувача та пароль, які ви використовуєте для входу на свій Mac.
• Щоб позбутися програмного забезпечення, перейдіть у Finder > Empty Trash.

4. Завантажте резервну копію Time Machine

Спроба з’ясувати, чи є у вашому Mac троян, а потім видалити його вручну, ймовірно, буде складним завданням. Можливо, простіше просто відновити резервну копію Time Machine перед встановленням зараженого файлу.

• Щоб відновити ваш Mac із резервної копії Time Machine, виконайте такі дії:
• Виберіть піктограму Time Machine на панелі меню.
• Введіть опцію «Машина часу».
• З’явиться стос вікон Finder, кожне з яких представлятиме окрему резервну копію.
• Натисніть кнопку «Відновити» після вибору того, що ви хочете відновити.

5. Використовуйте антивірусне програмне забезпечення

Ви повинні запускати сканування на віруси щоразу, коли ви підозрюєте, що ваш Mac заражений шкідливим програмним забезпеченням. Це також стосується випадків, коли ви підозрюєте, що заражені троянською програмою. Антивірусне програмне забезпечення перевіряє файли на наявність небезпечного коду.

Шукайте додатки для браузера.

Перевірте свій комп’ютер на наявність зловмисників браузера та розширень оголошень:

• Виберіть Safari > Налаштування на панелі меню. Перевірте наявну URL-адресу домашньої сторінки та внесіть необхідні зміни.
• Потім перейдіть на вкладку «Розширення» та видаліть усе, що вам незнайоме, оскільки вони можуть шпигувати за вами, зберігати вашу особисту інформацію та перенаправляти вас на шкідливі веб-сайти.

Видаліть усі сумнівні програми зі свого пристрою.

• Перевірте, чи не встановлено незнайоме програмне забезпечення:
• Перейдіть до папки «Програми» у Finder, вибравши «Перейти» > «Програми» або натиснувши Shift + Command + A.
• Видаліть усі нерозпізнані програми зі списку, прокрутивши його.
• Потім очистіть смітник.

Видаліть із системи всі сумнівні елементи входу.

• Видаліть усі елементи входу, які діють дивно, як частину вашої цілі «Видалення зловмисного програмного забезпечення Mac».
• Деякі з них можуть бути вам незнайомі, або ви можете не пам’ятати, як їх увімкнули.
• Щоб запобігти запуску певних елементів під час запуску, виконайте такі дії: Зніміть прапорці в меню Apple > Системні параметри > Користувачі та групи > Елементи входу.

В Apple macOS створіть новий профіль.

Ви можете виправити ситуацію, створивши новий профіль у macOS, якщо вірус Mac націлений на користувача, а не на пристрій. Щоб створити новий профіль користувача, виконайте такі дії:

• Перейдіть до Системні налаштування > Користувачі та групи в меню Apple.
• Щоб внести зміни, розблокуйте сторінку.
• Виберіть тип особи, яку ви хочете додати, натиснувши кнопку + (Адміністратор або Стандарт).
• Створіть нового користувача, ввівши нове ім’я користувача та пароль і натиснувши «Створити користувача».

6. Відновіть заводські налаштування Mac

Це крайній засіб, але якщо нічого не допомагає видалити трояна з вашого Mac, ви також можете виконати заводські скидання. Це скине ваш Mac до заводських налаштувань, видаливши з нього все, включно з усіма вашими даними, тому зробіть резервну копію заздалегідь. Щоб почати, вам потрібно буде увійти в режим відновлення.

Ось як увійти в режим відновлення на M1 Mac:

• Вимкніть свій Mac.

• Тепер натисніть і утримуйте кнопку живлення кілька секунд.
• Утримуйте кнопку, доки не побачите Завантаження параметрів запуску.
• Продовжте, натиснувши клавішу Enter.
• Коли буде запропоновано, введіть пароль адміністратора.
• Тепер перейдіть до Disk Utility і знайдіть опцію «Стерти», щоб видалити всі файли з Mac.

Висновок

Gmera також відомий як троян Kassi, небезпечна комп’ютерна інфекція, яка маскується під Stockfolio, справжній і корисний торговий інструмент для користувачів Mac. Щоб видалити «Gmera Trojan Mac» і очистити комп’ютер від зловмисного програмного забезпечення, скористайтеся всіма описаними вище процедурами.

FAQ

Чи можуть трояни впливати на Mac?

Якщо ваш Mac заражений троянським конем, програма може робити все, від встановлення інших вірусів або шпигунського програмного забезпечення до надання хакеру повного віддаленого контролю над вашою системою. Троянський кінь — жахлива новина як для вас, так і для вашої машини.

Як дізнатися, чи є у вашому Mac троянський вірус?

Ваш Mac починає поводитися дивно та робити те, чого ви не очікуєте. Ваш Mac починає працювати повільно, ніби щось використовує всі ресурси ЦП. На вашому комп’ютері починає з’являтися реклама.

Як можна приховати зловмисне програмне забезпечення?

Зловмисне програмне забезпечення може залишатися розширеною стійкою загрозою (APT), використовуючи поліморфізм, шифрування та виконання в процесі. Кожного разу, коли відтворюється поліморфний код, він змінюється. Змінюючи ключі шифрування/дешифрування на кожному новому пристрої, шифрування приховує ці дії та зберігає їх у полі зору.

Що таке троян? Це вірус чи зловмисне програмне забезпечення?

Троянський кінь — це різновид шкідливого програмного забезпечення, яке маскується під справжню програму та завантажується на комп’ютер. Зловмисники часто використовують соціальну інженерію для впровадження шкідливого коду в справжні програми, щоб отримати доступ до системи за допомогою своєї програми.