2 से 6 मई तक मैक के लिए आधिकारिक हैंडब्रेक क्लाइंट को "चूहे" के साथ वितरित किया गया था।

यदि आपने 2 मई से 6 मई, 2017 तक आधिकारिक वेबसाइट से ओएस एक्स के लिए लोकप्रिय हैंडब्रेक ट्रांसकोडर प्रोग्राम डाउनलोड किया, तो प्रायिकता के साथ 50% प्रोटॉन आरएटी था - दूरस्थ कंप्यूटर नियंत्रण के लिए एक कार्यक्रम। हैंडब्रेक सर्वर को हैक करने के बाद, अज्ञात व्यक्तियों ने वहां "चूहा" लगाकर आधिकारिक वितरण किट को बदल दिया, क्योंकि आरएटी कार्यक्रमों को कभी-कभी शब्दजाल में भी कहा जाता है।

Download.handbrake.fr मिरर पर हैंडब्रेक -१..dm वाइडगॉन्ग फ़ाइल को दूसरी फ़ाइल से बदल दिया गया था जिसका हैश https://github.com/HandBrake/HandBrake/wiki-Checksums पर सूचीबद्ध चेकसम से मेल नहीं खाता है।

हैंडब्रेक डिजिटल वीडियो फ़ाइलों को ट्रांसकोडिंग के लिए मुफ्त और मुफ्त सॉफ्टवेयर है, जो मूल रूप से 2003 में डीवीडी तेज करने के लिए विकसित किया गया था, अर्थात, डीवीडी से फिल्मों को एचडीडी में कॉपी करना। तब से, कार्यक्रम में कई बदलाव हुए हैं और अब इसका उपयोग मुख्य रूप से रेडी-मेड फ़ाइलों को ट्रांसकोडिंग के लिए किया जाता है। उदाहरण के लिए, torrents से अधिकतम गुणवत्ता संस्करण डाउनलोड करने के बाद, आपको एक स्वीकार्य रिज़ॉल्यूशन और आकार के साथ iPhone या Android डिवाइस के लिए एक प्रतिलिपि बनाने की आवश्यकता है। ट्रांसकोडिंग के दौरान, हैंडब्रेक आपको वांछित बिटरेट, अधिकतम फ़ाइल आकार सेट करने या "स्थिर गुणवत्ता" के साथ बिटरेट को बदलने की अनुमति देता है। कार्यक्रम कई विशिष्ट कार्यों का समर्थन करता है, जिसमें डेन्ड्रलिंग, इमेज स्केलिंग, क्रॉपिंग, कलाकृतियों को हटाने "कंघी" (डिकॉम्बिंग) और पोस्ट-प्रोडक्शन के अन्य प्रभाव शामिल हैं। कंसोल में GUI या पाठ इंटरफ़ेस के माध्यम से कार्य सूचियों को संकलित करके बैच मोड में फ़ाइलों को संसाधित करना संभव है। हैंडब्रेक वीडियो और ऑडियो दोनों के लिए कई इनपुट और आउटपुट प्रारूपों का समर्थन करता है।

लिनक्स, मैकओएस और विंडोज के लिए हैंडब्रेक के संस्करण हैं, लेकिन इस मामले में, हैकर्स ने केवल मैकओएस के लिए संस्करण को बदल दिया है।

6 मई, 2017 की सुबह हैंडब्रेक फोरम पर बूट आब्जर्वर मिरर को तोड़ने के बारे में एक संदेश प्रकाशित किया गया था। यह बताता है कि हर कोई जो मैक के लिए आधिकारिक हैंडब्रेक क्लाइंट 2 मई, 14:30 यूटीसी और 6 मई, 11:00 यूटीसी के बीच डाउनलोड करता है, उसे फाइल शुरू करने से पहले SHA1 या SHA256 हैश की जांच करनी चाहिए।

यदि आपके पास फ़ाइल की जांच करने का समय नहीं है और पहले से ही प्रोग्राम लॉन्च कर चुका है, तो आपको ट्रोजन की उपस्थिति के लिए कंप्यूटर की जांच करने की आवश्यकता है। यदि आप निर्दिष्ट अवधि में प्रोग्राम डाउनलोड करते हैं तो यह 50/50 की संभावना के साथ सिस्टम में मौजूद है। डेवलपर्स जोर देते हैं कि फर्मवेयर अपडेट 1.0 या उच्चतर संस्करण ट्रोजन स्थापित नहीं कर सका। संस्करण 1.0 के बाद से, यह डिजिटल हस्ताक्षर की जांच करता है और यदि हस्ताक्षर मेल नहीं खाते हैं तो अपडेट स्थापित नहीं करता है। लेकिन अपडेटर के पुराने संस्करण हस्ताक्षर को सत्यापित नहीं करते हैं, ताकि वे एक अंतर्निहित आरएटी के साथ एक फ़ाइल स्थापित कर सकें।

आप OSX गतिविधि मॉनिटर अनुप्रयोग में Activity_agent प्रक्रिया की उपस्थिति से कंप्यूटर पर ट्रोजन की पहचान कर सकते हैं।

यदि आपके पास अभी भी डाउनलोड की गई हैंडब्रेकबिडग फ़ाइल है, तो आप संक्रमित फ़ाइलों के हैश की जाँच कर सकते हैं:

SHA1: 0935a43ca90c6c419a49e4f8f1d75e68cd70b274
SHA256: 013623e5e50449bbdf6943549d8224a122a6c42bd3300a1bd2b743b01ae6793

यदि आपके पास ऐसा हैश है, तो फ़ाइल संक्रमित है।

कथित तौर पर, RAT का एक नया संस्करण जिसे OSX.PROTON कहा जाता है, ट्रांसकोडर के साथ भेजा गया था। यह कार्यक्रम पहली बार फरवरी 2017 में रूसी भूमिगत मंचों पर बिक्री पर देखा गया था।



प्रोग्राम को हटाने के लिए, टर्मिनल खोलें और निम्नलिखित कमांड निष्पादित करें:

• launchctl unload ~/Library/LaunchAgents/fr.handbrake.activity_agent.plist
• rm -rf ~/Library/RenderFiles/activity_agent.app
• यदि ~/Library/VideoFrameworks/ निर्देशिका में प्रोटॉन.ज़िप है, तो फ़ोल्डर को हटा दें

उसके बाद उपलब्ध सभी हैंडब्रेक.ऐप इंस्टॉलेशन को अनइंस्टॉल करें।

आगे की कार्रवाई
चूंकि यह RAT (संभवतः रूसी डिजाइन) पीड़ित के कंप्यूटर को पूरी तरह से नियंत्रित करता है, इसलिए कंप्यूटर और उस पर सभी जानकारी को समझौता माना जाना चाहिए। इसलिए, आपको उन सभी पासवर्डों को बदलने की आवश्यकता है जो ऑपरेटिंग सिस्टम और ब्राउज़र में संग्रहीत किए गए थे, साथ ही उन लोगों को भी जिन्हें आपने हाल ही में मैन्युअल रूप से टाइप किया था।

अब सार्वजनिक डोमेन में ऐसे सुविधाजनक उपकरण हैं जिनके साथ आप किसी भी फाइल को एक बार में सभी एंटीवायरस (जैसे कि वायरसटोटल) में स्कैन कर सकते हैं। हमलावर आमतौर पर मैलवेयर फ़ाइलों को ओफ़्फ़्यूस करने के बाद स्कैन करते हैं - फ़ाइलों को सफलतापूर्वक कैसे सत्यापित किया जाता है। यदि एंटीवायरस कार्यक्रम का पता नहीं लगाते हैं, तो इसे वितरित किया जा सकता है। यही कारण है कि अंतर्निहित एंटीवायरस macOS XProtect ट्रोजन का पता नहीं लगा सका। Apple अब हस्ताक्षर डेटाबेस को अपडेट कर रहा है। शायद कल या आज, अपडेट पहले से ही उपयोगकर्ताओं तक पहुंचना चाहिए।

ध्यान रखें कि VirusTotal जैसी सेवाओं के साथ, नए मालवेयर को उपयोगकर्ताओं के कंप्यूटर पर वितरित और स्थापित किए जाने के बाद हस्ताक्षर अपडेट हमेशा होते रहेंगे। एंटीवायरस सॉफ़्टवेयर द्वारा इसका पता चलने पर कोई भी मैलवेयर नहीं फैलाएगा। इसलिए, कई मायनों में कंप्यूटर पर एंटीवायरस का अर्थ खो गया है, खासकर जब से एंटीवायरस स्वयं सिस्टम में एक अतिरिक्त सुरक्षा छेद है ।

Download.handbrake.fr दर्पण वर्तमान में जांच के लिए बंद है। इसी समय, मुख्य आधिकारिक दर्पण काम करना जारी रखता है, इसलिए आप ट्रांसकोडर प्रोग्राम के आधिकारिक संस्करण को डाउनलोड कर सकते हैं। सच है, सर्वर पर लोड बढ़ने के कारण डाउनलोड गति कम हो गई है। लेकिन कार्यक्रम हैंडब्रेक अब, सबसे अधिक संभावना है, ट्रोजन के बिना।

देजा वु
दिलचस्प बात यह है कि हैंडब्रेक प्रोग्राम के मुख्य डेवलपर ट्रांसमिशन ट्रांसमिशन क्लाइंट के लेखक भी हैं। इस पर विश्वास न करें, लेकिन मार्च 2016 में, अज्ञात हैकर्स ने आधिकारिक ट्रांसमिशन सर्वर को हैक कर लिया और मूल फ़ाइल को केरांगर मैलवेयर वाले संस्करण के साथ बदल दिया । और कुछ महीनों के बाद, उसी दर्पण को फिर से हैक कर लिया गया, इस बार आधिकारिक ग्राहक में OSX / कीडनाप मैलवेयर शुरू किया ।