[Aprilspøk] Malware på Mac OS X

[norbat]

En bekjent kom innom hytta (er på påskeferie ved Sjusjøen) med mac'en sin og syntes det var rart at han fikk melding fra et antivirusprogram om at han var infisert med virus. "Hvordan er det mulig - er ikke Mac fritt for slik - Fa..@%!!!", utbrøt han.

 

Problemet med Mac, er at det ikke finnes særlig mange program som kan sjekke og evt. fjerne malware. Hijackthis, et program som har vært brukt i mange år på Windows har gitt ut en beta-versjon som kan liste opp noen området på Mac'en for å se om det kjører noe suspekt. Ut fra div. forum skjer det en eksplosjon av malwareinfiserte mac'er, så kanskje det er på tide å være litt forsiktig med mac'en og tenke sikkerhet?

 

Under vises loggen fra mac'en nevnt over, og den viser følgende:

04-sektoren viser kjørende program AntiVirus 2010 MacProtection er et falskt antivirusprogram i samme familie som Antivirus 2009, 2010, Antivirus XP etc. Navnet MacProtection er mest sannsynlig hentet fra F-Secure sitt nylig utgitte antivirusprogram for Mac.

 

030-sektoren viser minnemoduler, og fila antiv-MP2010 (tilhører Antivirus 2010 MacProtection) er lastet inn.

 

032-sektoren er knyttet til nettverk og nettverkstrafikk. Antivirus 2010 har endret dns, noe som fører til at vedkommende vil bli ledet til nettsider med annen malware. Ip-adressene som er listet opp er på IPv6-format. Serverne disse ip-adressene leder til, er kjent for å huse en mengde malware, bla. knyttet til Koobface og botnettet ZBot.

 

Infeksjonen under får man ved å besøke infiserte nettsider.

 

----

 

Logfile of Trend Micro HijackThis v2.0.3 (Beta)

Scan saved at 12:03:10, on 01.04.2010

Platform: Mac OS X 10.6 (Snow Leopard 10.6.3)

WEB-Reader: Firefox 3.6 (Firefox 78890903 compat/00195 )

Boot mode: Normal

 

 

04:/Users/spok1

04:~/Applications/Acquisition/aquistition.app

04:~/Applications/Colloquy/collo.app

04:~/Applications/MacTheRipper/mtr.app

04:~/Applications/VLC/vlc.app

04:~/Applications/XRay/xr.app

04:~/Applications/SpamStrainer 1.0b2/spst.app

04:~/Applications/AntiVirus 2010 MacProtection/antiv-MP2010.app

04:~/Applications/Wireless\airport\ZcfgSvc.app

04:~/Applications/Wireless\airport\EOUWiz.app

04:~/Applications/Analog Devices\SoundMAX\SMAgent.app

04:~/Applications/firefox/firefox.app

04:~/Applications/Mobile Device Support\bin\AppleMobileDeviceService.app

04:~/Applications/iPod\bin\iPodService.app

 

030:/System

030:~/antiv-MP2010

030:~/firefox

030:~/iPodService

030:~/mtr

 

031:/tmp

031:~/Caches

 

031b:/etc

 

031c:/var

 

032:/Network

032:~/spok1/Dns/2001:0db8:85a3:0000:0000:8a2e:0370:7334;2001:1db8:85a4:0000:0000:7a2e:0270:2114

 

---

 

Hvordan fjerne infeksjonen:

 

1. Bruk søkefunksjonen på mac'en og søk etter antiv-MP2010

2. Hvis fila blir funnet, koble Mac'en fra internett. Det kan også være lurt å ta strømmen på modem/ruter. La strømmen være ute i 15 sekunder slik at modem/ruter får tømt minne.

3. Start Mac'en i redusert modus (command + shift + control + esc). Dette forhindrer at fila blir lastet inn i minnet.

4. Finn og slett mappa AntiVirus 2010 MacProtection

5. Start mac'en i normal modus og surf trygt.

 

Edit: Ble du skræmt nå, Mac'er? Uansett, dette var bare en liten aprilspøk

Endret 2. mai 2010 av norbat

[r2d290]

Ja, har sett en del mac-er de siste ukene som har vært infisert. Det som er synd her er jo som du sier for det første at det er såpass få anti-malware program. Men det største problemet er vel at folk tenker at de ikke trenger det siden de er i den boblen om at det ikke finnes virus, og jeg tror det er nettopp dette som gjør at såpass mange har fått disse plagene.

 

 

Det var forresten en jeg hjalp idag som hadde en avart av det viruset du nevner, der mappa het AntiMac-vir 2010. Denne mappa fikk jeg ikke sletta på vanlig vis, og det endte til slutt opp med at jeg ga opp, men vet du om et program som mer effektivt fjerner slike mapper når viruset hindrer meg i å gjøre det?

Endret 1. april 2010 av r2d290

[norbat]

Det finnes dessverre ikke noe slikt prog for mac, så vidt jeg vet, men vil tro man kan boote med en linux-cd og ta mappa derfra evt. dualboot med Windows.

[r2d290]

Hmm, ja det var ikke så dumt. Får huske det til neste gang.

[r2d290]

Synd ingen bet på I alle fall ikke blant kommentarene.

 

Du hadde fler med på spøken i fjord

Endret 1. april 2010 av r2d290

[norbat]

Det gjenspeiler kanskje utbredelsen av OS X

 

Uansett, det trenger ikke å være langt unna en realitet hvis Mac/iphone/ipad blir et aktuelt marked for malwareprogrammerere.

[Sigurdl]

Gjikk 5 på søkte etter fila og !!!!!!!!!!!!!

[raWrz]

skjønte det var spøk siden norbat ikke skrev om det på bloggen sin

[Atald]

Det gjenspeiler kanskje utbredelsen av OS X

 

Uansett, det trenger ikke å være langt unna en realitet hvis Mac/iphone/ipad blir et aktuelt marked for malwareprogrammerere.

Jeg må innrømme at jeg gikk på.