搜索

[11944] 2017-10-28_Mac系统的Proton恶意软件：卷！土！重！来！

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2017-10-28_Mac系统的Proton恶意软件：卷！土！重！来！ M a c 系 统 的 P r o t o n 恶 意 软 件 ： 卷 ！ 土 ！ 重 ！ 来 ！ C a r r i e _ s p i n f o   F r e e B u f   2 0 1 7 - 1 0 - 2 8 M a c 恶 意 软 件 恶 意 软 件 O S X . P r o t o n 强 势 回 归 ， 这 次 他 们 的 袭 击 目 标 是 强 势 回 归 ， 这 次 他 们 的 袭 击 目 标 是 E l i t e i m a 官 网 上 发 布 的 官 网 上 发 布 的 E l m e d i a   P l a y e r 应 用 程 序 副 应 用 程 序 副 本 。 到 目 前 为 止 ， 没 有 人 知 道 这 个 本 。 到 目 前 为 止 ， 没 有 人 知 道 这 个 A P P 是 什 么 时 候 受 到 感 染 的 。 是 什 么 时 候 受 到 感 染 的 。 事 件 原 事 件 原 委 委 P r o t o n 早 在 今 年 3 月 份 就 悄 悄 潜 入 A p p l e   X P r o t e c t 中 ， 但 当 时 知 道 的 人 不 多 ， 大 家 也 没 在 意 。 5 月 份 ， 噩 梦 来 临 。 主 要 负 责 发 布 十 分 受 欢 迎 的 H a n d b r a k e 软 件 的 其 中 一 台 服 务 器 遭 到 攻 击 ， 一 个 受 P r o t o n 感 染 的 H a n d b r a k e 连 续 蔓 延 4 天 。 时 至 今 日 ， E l t i m a 软 件 公 司 再 次 遭 到 了 类 似 的 攻 击 。 上 周 四 上 午 ， E S E T 的 研 究 人 员 发 现 了 E l m e d i a   P l a y e r 中 的 木 马 ， 当 天 下 午 E l t i m a   S o f t w a r e 的 工 作 人 员 即 作 出 木 马 删 除 的 响 应 。 但 是 ， 已 经 有 一 定 未 知 数 量 的 用 户 下 载 了 这 个 恶 意 程 序 ， 受 到 了 P r o t o n 的 感 染 。 受 感 染 的 E l m e d i a   P l a y e r 应 用 程 序 看 起 来 和 真 实 的 没 什 么 不 同 。 因 为 这 个 木 马 程 序 实 际 上 是 一 只 披 着 羊 皮 的 狼 ， 用 正 常 的 恶 意 程 序 作 外 壳 ， 让 用 户 信 服 。 下 面 的 截 图 左 侧 是 “ 干 净 ” 的 E l m e d i a   P l a y e r ， 右 侧 则 是 乔 装 的 恶 意 程 序 。 这 一 点 与 之 前 H a n d b r a k e 感 染 事 件 所 用 的 技 术 存 在 差 异 。 H a n d b r a k e 事 件 中 ， 由 于 该 软 件 是 开 源 的 ， 所 以 黑 客 实 际 上 能 够 编 译 一 个 H a n d b r a k e 的 恶 意 副 本 ， 携 带 P r o t o n 恶 意 程 序 ， 但 其 它 方 面 表 现 均 无 异 样 。
但 在 这 个 案 例 中 ， E l m e d i a   P l a y e r 并 非 开 源 ， 因 此 黑 客 们 转 变 策 略 ， 打 开 了 真 实 程 序 一 个 未 经 修 改 的 副 本 。 为 了 避 免 D o c k （ M a c 任 务 栏 ） 上 同 时 出 现 两 个 E l m e d i a   P l a y e r 的 A P P ， 该 恶 意 程 序 在 其 I n f o . p l i s t 文 件 中 进 行 了 如 下 设 置 ： 这 就 把 该 恶 意 程 序 变 成 了 一 个 后 台 进 程 ， 实 现 了 表 面 的 隐 身 ， 能 够 暂 时 避 免 引 起 受 害 者 的 怀 疑 。 这 次 攻 击 事 件 中 的 恶 意 程 序 与 真 实 程 序 唯 一 的 不 同 点 是 启 动 程 序 时 的 密 码 请 求 。 见 下 图 。 恶 意 程 序 研 究 员 @ n o a r f r o m s p a c e 发 现 E l t i m a   S o f t w a r e 的 F o l x 程 序 也 受 到 了 感 染 。 因 为 之 前 E l t i m a   S o f t w a r e 已 经 作 了 系 统 清 理 ， 所 以 无 法 追 踪 还 有 哪 些 恶 意 程 序 也 惨 遭 毒 手 。 被 恶 意 修 改 的 E l t i m a 程 序 使 用 的 是 “ C l i f t o n   G r i m m ” 苹 果 开 发 人 员 证 书 进 行 的 签 名 。 目 前 该 证 书 已 被 撤 销 ， 这 些 恶 意 程 序 也 就 无 法 使 用 了 。 恶 意 行 为 恶 意 行 为 和 H a n d b r a k e 被 黑 副 本 留 下 来 的 变 体 P o r t o n . B 一 样 ， 这 个 新 的 变 体 （ P o r t o n . C ） 也 尝 试 获 取 含 用 户 密 码 及 其 它 敏 感 信 息 的 钥 匙 串 （ 苹 果 公 司 M a c   O S 中 的 密 码 管 理 系 统 ） 和 1 P a s s w o r d （ 苹 果 设 备 管 理 网 站 登 录 账 户 等 敏 感 信 息 的 应 用 ） ， 以 及 含 登 录 凭 据 的 浏 览 器 信 息 （ 依 赖 浏 览 器 记 住 登 录 密 码 的 亲 们 要 着 实 小 心 ） 。 相 比 之 下 ， P r o t o n . C 还 会 收 集 其 它 数 据 。 它 能 够 渗 透 多 种 加 密 货 币 钱 包 ， 从 中 窃 取 用 户 的 数 字 货 币 。 另 外 还 能 抓 取 用 户 访 问 某 些 在 线 敏 感 资 源 的 信 息 。 作 为 感 染 过 程 的 一 部 分 ， P r o t o n . C 还 会 在 s u d o e r s 文 件 中 添 加 一 行 ， 获 取 全 部 的 r o o t 访 问 权 限 ： 通 常 情 况 下 ， 如 果 用 户 获 得 了 终 端 r o o t 权 限 ， 该 权 限 只 在 单 个 终 端 窗 口 中 生 效 ， 不 会 影 响 其 它 终 端 系 统 。 但 是 如 果 在 s u d o e r s 文 件 末 尾 添 加 了 上 面 这 个 命 令 行 ， 恶 意 程 序 只 需 进 行 一 次 认 证 ， r o o t 权 限 就 能 在 所 有 终 端 上 生 效 。 我 被 感 染 了 吗 ？ 我 被 感 染 了 吗 ？ 我 们 到 现 在 还 不 知 道 E l t i m a   S o f t w a r e 系 统 是 什 么 时 候 被 入 侵 的 。 但 如 果 你 最 近 从 E l t i m a   S o f t w a r e 下 载 了 软 件 ， 就 要 检 查 一 下 自 己 的 系 统 了 。 本 文 发 布 者 M a l w a r e b y t e s   L A B S 有 一 款 能 够 免 费 检 测 并 删 除 P r o t o n . C 的 产 品 ： M a l w a r e b y t e s   f o r   M a c 。 < k e y > L S U I E l e m e n t < / k e y > < t r u e / > D e f a u l t s   ! t t y _ t i c k e t s
虽 说 免 费 ， 但 如 果 不 想 以 后 被 强 制 消 费 ， 我 们 还 有 一 种 办 法 。 在 F i n d e r 中 的 “ G o （ 转 到 ） ” 菜 单 选 择 “ G o   t o   F o l d e r （ 转 到 文 件 夹 ） ” 然 后 输 入 以 下 路 径 ： 点 击 G o 按 钮 。 如 果 F i n d e r 显 示 “ T h e   f o l d e r   c a n ’ t   b e   f o u n d （ 找 不 到 文 件 夹 ） ” ， 这 就 说 明 你 没 有 受 到 该 恶 意 程 序 的 感 染 ， 当 然 这 个 结 论 基 于 你 完 全 没 有 输 错 的 情 况 下 。 这 个 方 法 还 是 会 有 人 为 错 误 的 风 险 存 在 。 如 果 你 被 感 染 了 ， 首 要 动 作 当 然 是 删 除 系 统 中 E l t i m a   S o f t w a r e 的 程 序 。 即 使 装 在 你 电 脑 上 的 反 病 毒 软 件 没 有 检 测 出 来 ， 你 也 应 该 自 己 清 理 干 净 ， 以 防 万 一 。 我 该 怎 么 办 ？ 我 该 怎 么 办 ？ 发 现 自 己 被 感 染 后 ， 第 一 件 事 当 然 是 清 理 系 统 。 完 成 后 ， 你 就 要 开 启 信 息 泄 露 风 险 修 复 的 漫 漫 长 路 了 。 我 们 需 要 修 改 所 有 账 户 的 密 码 。 1 P a s s w o r d 这 样 的 密 码 管 理 器 能 够 很 大 程 度 地 减 轻 工 作 量 。 另 外 ， 千 万 不 要 在 m a c O S 的 钥 匙 串 中 存 储 密 码 管 理 器 的 密 码 ！ 这 个 主 密 码 的 沦 陷 会 让 所 有 的 努 力 功 亏 一 篑 。 如 果 你 有 电 子 钱 包 ， 马 上 冻 结 ！ 如 果 你 的 信 用 卡 或 其 它 银 行 账 户 信 息 存 储 在 钥 匙 串 或 1 P a s s w o r d 中 ， 立 即 联 系 银 行 ， 冻 结 账 户 ， 进 行 账 户 流 水 的 监 控 或 密 码 更 改 。 如 果 该 恶 意 软 件 感 染 了 涉 及 公 司 业 务 的 设 备 ， 一 定 要 及 时 通 知 I T 管 理 人 员 。 黑 客 会 通 过 这 个 程 序 获 取 部 分 或 全 部 公 司 内 部 的 资 源 ， 不 但 会 导 致 该 公 司 关 键 信 息 的 泄 露 ， 如 果 刚 好 是 一 家 做 软 件 的 企 业 ， 还 有 可 能 产 生 新 的 变 体 ， 随 着 新 软 件 或 新 版 本 的 发 布 ， 殃 及 更 多 无 辜 群 众 。 * 参 考 来 源 ： m a l w a r e b y t e s ， F B 小 编 C a r r i e 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文 / L i b r a r y / L a u n c h A g e n t s / c o m . E l t i m a . U p d a t e r A g e n t . p l i s t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理