AppBuyer : Descubierto troyano en dispositivos con Jailbreak

Hace un par de días varias páginas web se hacían eco de una noticia preocupante, según las fuentes Palo Alto y Reddit , un malware ha sido introducido en algunos dispositivos con Jailbreak, sin conocer todavía el método utilizado para ello

 

Este malware a modo de Troyano, se introduce en el sistema y roba la iD y contraseña de Apple para hacer compras en la App Store, y fue descubierto después de que un usuario reportara que aplicaciones se le instalaban periódicamente sin que el hubiera tenido nada que ver en ello

La forma de instalación del malware es la siguiente:

1. descarga un ejecutable para crear un único UUID.
2. instala un twek de Cydia Substrate para poder interceptar todas las sesiones HTTP/HTTPS y así poder robar las credenciales de iD de Apple.
3. descarga una utilidad gzip falsa para poder acceder a App Store.

Todavía no está claro como entra en el sistema este Troyano, posiblemente por una repo infectada, a través de otro virus que podría instalarse en el PC o incluso desde la misma utilidad de Jailbreak en el PC.

Lo único que queda claro que para saber si nuestro dispositivo está infectado hay que comprobar si existen en su sistema unos archivos que han sido identificados de este malware, y son los siguientes ( podemos ver si los tenemos utilizando el iFile desde nuestro dispositivo o programas desde el PC como por ejemplo el iFunbox) :

• /System/Library/LaunchDaemons/com.archive.plist
• /bin/updatesrv
• /tmp/updatesrv.log
• /etc/uuid
• /Library/MobileSubstrate/DynamicLibraries/aid.dylib
• /usr/bin/gzip

Si compruebas que los tienes, lo que tienes que hacer hasta que se obtenga más información sobre esto es restaurar el dispositivo de nuevo desde iTunes pero sin restaurar copias de seguridad, puesto que no es seguro que algún archivo de este malware esté preparado para que al restaurar la copia de seguridad pueda aparecer de nuevo aunque ya no tengas el Jailbreak instalado.