搜索

[10920] 2017-01-12_盘点2016年针对苹果Mac系统的恶意软件（附样本下载）FreeBuf年终策划

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-01-12_盘点2016年针对苹果Mac系统的恶意软件（附样本下载）FreeBuf年终策划 盘 点 2 0 1 6 年 针 对 苹 果 M a c 系 统 的 恶 意 软 件 （ 附 样 本 下 载 ）   |   F r e e B u f 年 终 策 划 c l o u d s   F r e e B u f   2 0 1 7 - 0 1 - 1 2 由 于 样 式 和 传 播 途 径 多 样 ， 由 于 样 式 和 传 播 途 径 多 样 ， W i n d o w s 系 统 下 的 恶 意 软 件 通 常 比 较 常 见 。 当 然 ， 在 系 统 下 的 恶 意 软 件 通 常 比 较 常 见 。 当 然 ， 在 2 0 1 6 年 ， 年 ， M a c 系 统 下 的 一 些 新 型 恶 意 软 件 也 系 统 下 的 一 些 新 型 恶 意 软 件 也 慢 慢 开 始 流 行 起 来 ， 大 量 苹 果 电 脑 系 统 面 临 安 全 威 胁 。 慢 慢 开 始 流 行 起 来 ， 大 量 苹 果 电 脑 系 统 面 临 安 全 威 胁 。 在 此 ， 我 就 2 0 1 6 年 出 现 的 M a c 系 统 恶 意 软 件 作 一 些 盘 点 分 析 ， 并 对 每 个 恶 意 软 件 的 功 能 特 点 、 感 染 方 式 、 驻 留 机 制 及 清 除 方 法 作 出 描 述 说 明 。 如 果 你 想 亲 自 动 手 分 析 研 究 ， 在 安 全 风 险 自 负 的 情 况 下 ， 请 点 击 阅 读 原 文 查 看 我 们 为 你 提 供 的 样 本 文 件 。 如 果 你 想 亲 自 动 手 分 析 研 究 ， 在 安 全 风 险 自 负 的 情 况 下 ， 请 点 击 阅 读 原 文 查 看 我 们 为 你 提 供 的 样 本 文 件 。 K e R a n g e r       2 0 1 6 . 3       野 生 网 络 中 出 现 的 ， 第 一 个 针 对 O S   X 的 全 功 能 恶 意 勒 索 软 件 ； E l e a n o r             2 0 1 6 . 7         基 于 P H P 的 后 门 程 序 ， 使 用 T o r 隐 藏 服 务 端 进 行 远 程 控 制 通 信 ； K e y d n a p         2 0 1 6 . 7         具 备 窃 取 O S   X 系 统 用 户 凭 据 的 标 准 后 门 程 序 ， 使 用 T o r 隐 藏 服 务 端 进 行 远 程 控 制 通 信 ； F a k e   F i l e   O p e n e r     2 0 1 6 . 8       具 有 独 特 驻 留 机 制 的 一 个 相 当 烦 人 的 广 告 类 恶 意 软 件 ； M o k e s               2 0 1 6 . 9           针 对 O S   X 系 统 的 一 个 非 常 标 准 非 常 完 美 的 后 门 程 序 ； K o m p l e x         2 0 1 6 . 9         伪 装 成 俄 罗 斯 航 天 计 划 ， 可 能 由 俄 罗 斯 黑 客 团 队   S o f a c y   G r o u p   或   F a n c y   B e a r   开 发 ， 主 要 针 对 航 天 领 域 用 户 的 一 款 木 马 程 序 。 K e R a n g e r O S X / K e R a n g e r 是 第 一 个 针 对 O S   X 的 全 功 能 恶 意 勒 索 软 件 ， 由 P a l o   A l t o   N e t w o r k s 发 现 。
感 染 方 式 感 染 方 式 该 恶 意 软 件 出 于 各 种 原 因 ， 非 常 特 别 。 首 先 是 感 染 方 式 特 别 ， 为 了 实 现 隐 秘 感 染 M a c 用 户 ， O S X / K e R a n g e r 作 者 先 是 黑 了 O S   X 系 统 流 行 B i t T o r r e n t 客 户 端 T r a n s m i s s i o n 官 方 网 站 h t t p s : / / t r a n s m i s s i o n b t . c o m / 。 之 后 ， 利 用 入 侵 权 限 ， 把 提 供 下 载 的 T r a n s m i s s i o n 官 方 程 序 替 换 成 包 含 恶 意 程 序 O S X / K e R a n g e r 的 假 冒 程 序 。 该 假 冒 程 序 安 装 包 在 T r a n s m i s s i o n . a p p / C o n t e n t s / R e s o u r c e s 目 录 下 带 有 一 个 名 为 G e n e r a l . r t f 的 文 件 ， 它 看 似 像 正 常 的 R T F 文 件 ， 实 际 上 却 是 一 个 带 有 U P X   3 . 9 1 的 M a c h - O 格 式 可 执 行 文 件 。
当 用 户 点 击 受 感 染 的 T r a n s m i s s i o n 程 序 之 后 ， 将 会 调 用 执 行 G e n e r a l . r t f 文 件 ， 恶 意 程 序 主 要 执 行 体 为 ： 另 外 ， O S X / K e R a n g e r 作 者 还 为 其 注 册 了 一 个 有 效 的 M a c 开 发 应 用 证 书 ， 因 此 可 以 绕 过 苹 果 的 G a t e K e e p e r   防 护 ： 驻 留 机 制 驻 留 机 制 据 目 前 的 样 本 观 察 来 看 ， O S X / K e R a n g e r 不 包 含 任 何 逻 辑 性 驻 留 感 染 代 码 ， 只 要 把 恶 意 程 序 主 体 文 件 k e r n e l _ s e r v i c e 和 其 相 关 进 程 清 除 之 后 ， 就 可 以 完 全 避 免 进 一 步 感 染 。
感 染 特 征 感 染 特 征 用 户 电 脑 被 感 染 后 ， K e R a n g e r 会 通 过 T o r 匿 名 网 络 与 远 程 C & 2 服 务 器 连 接 ， 之 后 开 始 对 系 统 上 某 些 特 定 文 档 和 数 据 进 行 加 密 ， K e R a n g e r 就 会 要 求 受 害 者 向 一 指 定 的 地 址 支 付 一 个 比 特 币 ， 以 赎 回 文 件 。 以 下 是 对 其 勒 索 代 码 的 逆 向 分 析 ： 以 上 代 码 显 示 ， K e R a n g e r 将 会 加 密   / U s e r s / 目 录 和 / V o l u m e s / 根 目 录 下 所 有 文 件 ， 而 据 P a l o A l t o 分 析 ， 这 些 被 加 密 的 文 件 包 括 3 0 0 多 种 格 式 类 型 ， 如 . d o c s ,   . j p g s ,   . z i p s ,   . c p p 等 。 在 每 个 加 密 目 录 下 ， K e R a n g e r 会 创 建 一 个 r e a d m e _ f o r _ d e c r y p t . t x t 文 档 ， 其 中 包 含 用 户 如 何 支 付 比 特 币 的 方 法 ： 也 有 分 析 人 员 认 为 K e R a n g e r 是 勒 索 软 件 l i n u x . e n c o d e r 的 变 种 ， 这 也 从 另 外 一 个 方 面 说 明 现 代 某 些 恶 意 软 件 的 移 植 相 对 灵 活 。 清 除 方 式 清 除 方 式 停 止 k e r n e l _ s e r v i c e 进 程 删 除   ~ / L i b r a r y / k e r n e l _ * 目 录 和 相 关 文 件 升 级 T r a n s m i s s i o n 至 2 . 9 3 版 本 目 前 来 说 ， 苹 果 方 面 已 经 吊 销 了 K e R a n g e r 的 注 册 证 书 （ I D   Z 7 2 7 6 P X 6 7 3 ） 并 更 新 了 X P r o t e c t 特 征 库 ， 暂 时 能 对 M a c 用 户 形 成 安 全 防 护 。
K e y d n a p O S X / K e y d n a p 是 具 备 窃 取 O S   X 系 统 用 户 凭 据 的 标 准 后 门 程 序 ， 使 用 T o r 隐 藏 服 务 端 进 行 远 程 控 制 通 信 ， 由 E S E T 发 现 。 感 染 方 式 感 染 方 式 O S X / K e y d n a p 首 先 被 E s e t 发 现 ， E s e t 声 称 ， 不 清 楚 O S X / K e y d n a p 以 何 种 方 式 感 染 了 受 害 者 系 统 ， 但 很 有 可 能 是 通 过 垃 圾 邮 件 附 件 或 非 受 信 网 站 下 载 等 途 径 。 据 分 析 ， K e y d n a p 属 下 载 者 类 型 木 马 （ d o w n l o a d e r ） ， 由 . z i p 压 缩 文 件 方 式 存 在 于 受 害 者 系 统 中 ， . z i p 压 缩 文 件 中 包 含 有 可 执 行 的   M a c h - O   文 件 ， 这 些 文 件 看 似 是 . t x t 或 . j p g 文 件 ， 但 其 实 在 这 些 文 件 后 缀 名 后 被 加 了 个 空 格 隐 藏 在 末 尾 ， 这 就 是 木 马 程 序 的 伪 装 手 段 。 由 于 M a c   O S   默 认 这 种 文 件 为 终 端 执 行 文 件 ， 这 意 味 着 在 双 击 打 开 图 片 或 文 档 的 同 时 ， 恶 意 程 序 的 p a y l o a d 同 时 也 在 终 端 环 境 下 被 运 行 。
在 传 播 后 期 ， 攻 击 者 同 样 通 过 入 侵 T r a n s m i s s i o n 官 网 ， 利 用 O S X / K e R a n g e r 感 染 方 式 ， 把 合 法 的 T r a n s m i s s i o n 程 序 替 换 成 了 K e y d n a p 恶 意 程 序 。 这 一 次 ， 假 冒 T r a n s m i s s i o n 程 序 包 包 含 了 恶 意 程 序 主 体 执 行 文 件 L i c e n s e . r t f ， 并 注 册 了 另 一 个 开 发 者 应 用 证 书 ：   S h a d e r k i n   I g o r   ( 8 3 6 Q J 8 V M C Q ) 驻 留 机 制 驻 留 机 制 为 了 实 现 长 期 系 统 驻 留 ， K e y d n a p 创 建 了 两 个 系 统 项 ： c o m . a p p l e . i C l o u d . s y n c . d a e m o n 、 c o m . g e t i c l o u d . i c l o u d . p h o t o
c o m . a p p l e . i C l o u d . s y n c . d a e m o n 负 责 让 系 统 执 行 恶 意 程 序 的 二 进 制 进 程 i c l o u d s y n c d ， c o m . g e t i c l o u d . i c l o u d . p h o t o 负 责 恶 意 程 序 与 远 程 C & 2 服 务 器 的 T o r 隐 藏 服 务 通 信 进 程 i c l o u d p r o c ， 而 i c l o u d p r o c 则 是 T o r 2 W e b 代 理 程 序 的 一 个 复 本 。 感 染 特 征 感 染 特 征 前 述 的 i c l o u d s y n c d 进 程 是 K e y d n a p 的 主 要 执 行 体 ， 它 具 备 标 准 后 门 程 序 功 能 ， 可 以 实 现 远 程 控 制 、 下 载 、 执 行 文 件 等 操 作 ， 其 中 还 包 括 一 个 远 程 p y t h o n 脚 本 文 件 下 载 执 行 ： 另 外 ， K e y d n a p 还 包 括 逻 辑 提 权 操 作 ， 它 将 会 产 生 一 个 要 求 用 户 输 入 用 户 名 密 码 的 窗 口 ， 看 上 去 就 像 O S   X 系 统 中 某 个 程 序 需 要 系 统 执 行 权 限 一 样 。 如 果 受 害 者 被 此 迷 惑 并 输 入 用 户 名 密 码 之 后 ， 后 门 程 序 将 以 r o o t 权 限 运 行 ， 并 且 k e y c h a i n 中 的 密 码 信 息 将 会 被 盗 取 。
这 部 分 的 功 能 实 现 ， K e y d n a p 的 作 者 可 能 参 考 了 g i t h u b 上 的 开 源 项 目 k e y c h a i n d u m p 。 K e y d n a p 使 用 T o r 2 W e b 代 理 程 序 进 行 C & 2 通 信 ， 进 程 i c l o u d p r o c 持 续 对 1 2 7 . 0 . 0 . 1 : 9 0 5 0 地 址 进 行 监 听 ，   用 T o r 隐 藏 服 务 利 用 h t t p s 与 远 程 C & C 服 务 器 进 行 通 信 ： 清 除 方 式 清 除 方 式
使 用 l a u n c h c t l   u n l o a d 命 令 暂 停 恶 意 程 序 或 T o r 进 程 删 除 启 动 项 p l i s t 文 件 / L i b r a r y / L a u n c h A g e n t s   或     ~ / L i b r a r y / L a u n c h A g e n t s c o m . a p p l e . i C l o u d . s y n c . d a e m o n . p l i s t c o m . g e t i c l o u d . i c l o u d . p h o t o . p l i s t 删 除 启 动 项 二 进 制 文 件 ： a )   ~ / L i b r a r y / A p p l i c a t i o n   S u p p o r t / c o m . a p p l e . i C l o u d . s y n c . d a e m o n / ? b )   ~ / L i b r a r y / A p p l i c a t i o n   S u p p o r t / c o m . g e t i c l o u d / 目 前 ， 苹 果 公 司 已 经 注 销 了 相 关 感 染 了 K e y d n a p 的 T r a n s m i s s i o n 开 发 者 账 号 ： E l e a n o r O S X / E l e a n o r 是 一 个 基 于 p h p 的 全 功 能 简 单 后 门 程 序 ， 由 B i t d e n f e n d e r 发 现 。 感 染 方 式 感 染 方 式 与 其 它 恶 意 软 件 传 播 方 式 不 同 ， O S X / E l e a n o r 通 过 伪 装 成 应 用 程 序 E a s y D o c   C o n v e r t o r ， 在 很 多 流 行 的 程 序 分 享 和 下 载 网 站 提 供 下 载 ， 如 M a c   U p d a t e 。
驻 留 机 制 驻 留 机 制 感 染 M a c 系 统 后 ， O S X / E l e a n o r 会 安 装 三 个 自 启 动 项 ， 显 然 ， 隐 蔽 性 不 是 其 作 者 所 着 重 关 心 的 部 分 ， 这 三 个 启 动 项 分 别 是 ： c o m . g e t d r o p b o x . d r o p b o x . i n t e g r i t y c h e c k . p l i s t   →   c o n n c o m . g e t d r o p b o x . d r o p b o x . t i m e g r a b b e r . p l i s t   →   c h e c k _ h o s t n a m e c o m . g e t d r o p b o x . d r o p b o x . u s e r c o n t e n t . p l i s t   →   d b d 其 中 ， 启 动 项 c o m . g e t d r o p b o x . d r o p b o x . i n t e g r i t y c h e c k . p l i s t 负 责 执 行 名 为 c o n n 的 二 进 制 程 序 ， 该 程 序 为 开 启 隐 藏 T o r 服 务 ； c o m . g e t d r o p b o x . d r o p b o x . t i m e g r a b b e r . p l i s t 负 责 执 行 名 为 c h e c k _ h o s t n a m e 的 脚 本 ， 该 脚 本 把 恶 意 程 序 使 用 的 C & C 远 程 T o r 地 址 发 布 到 P a s t e b i n 网 站 保 存 ； c o m . g e t d r o p b o x . d r o p b o x . u s e r c o n t e n t . p l i s t 负 责 执 行 P H P 主 要 程 序 d b d ： 感 染 特 征 感 染 特 征 E l e a n o r 比 较 独 特 的 功 能 之 一 是 把 受 害 主 机 通 过 T o r 进 行 进 程 控 制 管 理 ， c o n n 程 序 负 责 与 远 程 C & C 服 务 器 进 行 连 接 通 信 ， 利 用 进 程 管 理 工 具 T a s k E x p l o r e r 可 以 观 察 到 其 对 9 0 6 0 和 9 0 6 1 端 口 的 网 络 监 听 行 为 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理