Przejdź do treści
Malware

FlutterShell: nowy backdoor na Maca rozprzestrzeniany przez reklamy Google

Nowa kampania malvertisingowa rozprzestrzenia backdoora FlutterShell na komputerach Mac. Atakujący wykorzystują reklamy Google do promowania fałszywych aplikacji. Sprawdź, jak się chronić.

3 min read
An abstract composition of a glowing red shell-shaped object floating above a dark sea of tangled cables and binary code, with a faint shield symbol dissolving in the background.

Nowa kampania malvertisingowa wymierzona w użytkowników komputerów Mac rozprzestrzenia backdoora o nazwie FlutterShell. Atakujący wykorzystują reklamy Google do promowania fałszywych aplikacji, które po instalacji przejmują kontrolę nad przeglądarką i mogą wykradać dane. Eksperci z firmy Palo Alto Networks ostrzegają, że zagrożenie jest aktywne i stale rozwijane.

Jak działa FlutterShell?

FlutterShell to backdoor napisany w frameworku Flutter, który udaje legalne oprogramowanie, takie jak odtwarzacz podcastów czy czytnik PDF. Jak opisują badacze z Unit 42, malware wykorzystuje architekturę WebView z mostkiem JavaScript-native. Oznacza to, że złośliwa logika nie jest na stałe zapisana w pliku binarnego, lecz pobierana ze zdalnego serwera. Dzięki temu atakujący mogą w czasie rzeczywistym zmieniać zachowanie backdoora bez konieczności aktualizowania samej aplikacji.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Po uruchomieniu FlutterShell modyfikuje konfigurację przeglądarki Google Chrome, przekierowując cały ruch przez kontrolowany przez atakujących serwer pośredniczący. Serwer ten wstrzykuje reklamy, ale ma też możliwość wykonywania dowolnych komend systemowych, odczytu plików i kradzieży zmiennych środowiskowych. W niektórych wariantach malware wykorzystuje funkcje AI do podsumowywania dokumentów, przesyłając je najpierw na serwer atakujących.

Kto jest celem i jak dochodzi do infekcji?

Kampania, nazwana przez badaczy Operation FlutterBridge, jest skierowana do użytkowników na całym świecie, ze szczególnym uwzględnieniem rynków anglojęzycznych i Europy Zachodniej. Atakujący wykupili setki zweryfikowanych reklam w Google Ads, które promują fałszywe aplikacje. Aby ominąć weryfikację, posługują się siecią firm przykrywek. Google poinformował, że zawiesił konta reklamodawców powiązane z tą kampanią.

Wszystkie próbki FlutterShella, które przeanalizowali eksperci, były podpisane ważnym certyfikatem Apple Developer ID i pomyślnie przeszły proces notaryzacji. Oznacza to, że systemy bezpieczeństwa Apple nie wykryły ich jako złośliwych w momencie przesyłania. Co więcej, w momencie analizy żadna z trzech aplikacji nie była wykrywana przez skanery VirusTotal.

Jak się chronić?

Użytkownicy komputerów Mac powinni zachować ostrożność przy pobieraniu aplikacji spoza oficjalnego sklepu App Store. Oto kilka praktycznych zaleceń:

  • Pobieraj oprogramowanie wyłącznie ze sprawdzonych źródeł – unikaj linków reklamowych i podejrzanych stron oferujących „darmowe” wersje płatnych programów.
  • Sprawdzaj certyfikaty dewelopera – nawet podpisana aplikacja może być złośliwa, ale warto zweryfikować, czy deweloper jest znany i zaufany.
  • Korzystaj z oprogramowania zabezpieczającego – nowoczesne rozwiązania EDR (Endpoint Detection and Response) mogą wykryć podejrzane zachowania, nawet jeśli plik nie jest rozpoznawany przez tradycyjne antywirusy.
  • Regularnie aktualizuj system i aplikacje – łatki bezpieczeństwa usuwają znane luki, które mogą być wykorzystywane przez malware.
  • Monitoruj uprawnienia aplikacji – jeśli program nagle zaczyna modyfikować ustawienia przeglądarki lub wysyłać dane w tle, może to być sygnał infekcji.

Co dalej?

Badacze z Unit 42 podkreślają, że FlutterShell jest w fazie aktywnego rozwoju. Odkryto wersje, które nie zawierały jeszcze złośliwego kodu, a także wiele niedokończonych funkcji w logice JavaScript. Oznacza to, że atakujący stale udoskonalają swoje narzędzia. Kampania FlutterBridge jest kontynuacją wcześniejszych działań grupy CL-CRI-1089, która w przeszłości atakowała zarówno systemy Windows, jak i macOS. Warto śledzić komunikaty firm bezpieczeństwa i reagować na zalecenia producentów oprogramowania.

#backdoor #bezpieczeństwo #FlutterShell #macOS #malvertising #malware
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A realistic stock-style photo of a middle-aged Polish man sitting at a home desk in a typical Polish apartment, looking worried and frustrated at his laptop screen. Evening lighting from a desk lamp. The laptop is open, screen facing away, showing only the back of the device. No visible text, numbers, or interfaces on the screen. The man's hand is on the mouse, his expression conveys concern and surprise. Shallow depth of field, warm tones, natural grain, 16:9 crop. No logos, no brand names, no signs. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Malware

70 fałszywych stron z aplikacjami Windows. Twoje dane w niebezpieczeństwie

28 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe, Polska scena biurowa: młody mężczyzna w okularach przed komputerem, wygląda na zaskoczonego i zmartwionego, patrząc na ekran (ale ekran widoczny tylko z tyłu, bez interfejsu), w tle otwarta przestrzeń biurowa z kilkoma biurkami. Naturalne światło dzienne, głębia ostrości, kadr 16:9, twarz z bliska, emocja: zaniepokojenie. Zero tekstu, cyfr ani ekranów z interfejsem. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Malware

Atakują przez Teams i podszywają się pod IT. Masz firmowe konto?

26 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Photorealistic stock-style close-up photo of a worried middle-aged man looking at his laptop screen at home, evening natural light from window, his hand hesitating over the mouse, screen visible only from the back (no interface visible), the room is a typical Polish apartment with a radiator and a plant, shallow depth of field, realistic skin texture, slightly grainy, 16:9. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Malware

Podszywają się pod UPS i kradną wszystkie hasła z przeglądarki. Jak się bronić?

25 lipca, 2026 4 min read