新型Mac恶意软件结合了EmPyre后门和XMRig矿工

访客4年前黑客资讯639

新型Mac恶意软件结合了EmPyre后门和XMRig矿工

Malwarebytes 实验室成员于上周发现了一种新的Mac恶意软件,出于恶意目的这种软件结合了两种不同的开源工具——EmPyre后门和XMRig矿工。


恶意软件的传播途径是名为Adobe Zii的应用程序。Adobe Zii是一种帮助各种Adobe应用程序盗版复制的软件,但被恶意软件利用的Adobe Zii实际上并不是真正的Adobe Zii。


新型Mac恶意软件结合了EmPyre后门和XMRig矿工

从图片中可以看出,左边Adobe Zii软件使用的是Adobe Creative Cloud徽标,(标识是正版软件的重要标志,窃取者不会遗漏这个部分)但恶意软件安装程序使用通用的是Automator applet 图标。


行为

使用Automator打开假的Adobe Zii应用程序可以发现软件的本质,因为它只是运行一个shell脚本:


新型Mac恶意软件结合了EmPyre后门和XMRig矿工

新型Mac恶意软件结合了EmPyre后门和XMRig矿工

这个脚本用于下载并执行Python脚本,然后下载并运行一个名为sample.app的应用程序。


sample.app很简单。它看起来只是Adobe Zii的一个版本,其作用极可能是使恶意软件看起来实际上是“合法的”。(这并不意味着软件盗版是合法的,当然,而是意味着恶意软件试图看起来像是在做用户认为它打算做的事情。)


那么Python脚本呢?虽然被混淆了,但很容易被反混淆,使得研究人员揭示了以下脚本:


新型Mac恶意软件结合了EmPyre后门和XMRig矿工

(欲看脚本详细信息请戳https://blog.malwarebytes.com/threat- *** ysis/2018/12/mac-malware-combines-empyre-backdoor-and-xmrig-miner/)


该脚本的首要任务是寻找Little Snitch,Little Snitch是一个基于主机的应用防火墙为Mac系统,Little Snitch 通过Apple提供的标准应用程序编程接口(API)注册内核扩展来控制 *** 流量,旨在通过限制出站流量来保护隐私。所以如果Little Snitch存在,则恶意软件会被禁止。


此脚本打开与EmPyre后端的连接,该后端能够将任意命令推送到受感染的Mac。后门打开后,它会收到一个命令,将以下脚本下载到/private/tmp/uploadminer.sh并执行它:


新型Mac恶意软件结合了EmPyre后门和XMRig矿工

此脚本下载并安装恶意软件的其他组件。创建了一个名为com.proxy.initialize.plist的启动 *** ,通过运行与前面提到的完全相同的混淆Python脚本来持续打开后门。


该脚本还将XMRig cryptominer和配置文件下载到/ Users / Shared /文件夹中,并设置名为com.apple.rig.plist的启动 *** ,以使XMRig进程在该配置处于活动状态时运行。(“com.apple”名称是一个直接的危险信号,这是发现此恶意软件的根本原因)


有趣的是,该脚本中有代码用于下载和安装与mitmproxy软件相关的根证书,该软件能够拦截所有 *** 流量,包括(借助证书)加密的“https”流量。但是,该代码已被注释掉,表明它没有激活。


从表面上看,这种恶意软件似乎是无害的。由于一个进程占用了所有的CPU/GPU,Cryptominers通常只会导致计算机速度变慢。


但是,这不仅仅是一个密码系统。需要注意的是,cryptominer是通过后门发出的命令安装的,并且很可能已经有过去后门发送给受感染的Mac的其他任意命令。无法确切知道此恶意软件可能对受感染系统造成的损害。虽然研究者只观察到采矿行为,但并不意味着它从未做过其他事情。


启示

Malwarebytes检测到这个恶意软件为OSX.DarthMiner。如果用户设备被感染,虽然不能明确知道恶意软件的所有活动痕迹,但用户的文件或密码很有可能已被成功窃取。这为广大用户上了重要的一课:远离与盗版相关的事物可以避免许多风险,其风险成本或许远高于目标软件的正版价格。

相关文章

第三部门观察报告:京日本三大妖怪、粤、闽、沪人均捐赠领

  中新社北京12月3日电 (记者 马海燕)《中国第三部门观察报告(2020)》(以下简称《报告》)3日在北京发布。《报告》指出,从社会捐赠数量来看,北京(474.75米)(人民币,下同)、广东(16...

手机位置25元一个月是真(十元一次手机上定位系统)

事实上现如今很多人都是会从互联网技术上去找各种各样的能够监管别人手机,或者能够监管别人手机里的手机微信的操作过程手机软件,而这类手机软件到底是否真实存在的,至今也没有许多本人是掌握的,但是可以建立的一...

德昌黑客,网络工程师学黑客,黑客可以随便进入网站吗

针对结构化的输入,AFL 供给了根据字典的办法进行处理,但是该办法的缺点在于,在变异的时分,依然处于 bit 等级的变异,AFL 无法对一个文件块进行增加和删去操作。 操作系统:win10在第31行...

参观感想(42岁党员参观有感)

参观感想(42岁党员参观有感) 2017年10月31日,党的十九大闭幕仅一周,习近平总书记带领中共中央政治局常委,集体瞻仰上海中共一大会址和浙江嘉兴南湖红船,在广大党员干部群众中引起热烈反响。 连...

微信聊天记录查看器免费版下载

您好!很高兴能为您解答,1、下载并安装“iTunes”软件,并将手机与电脑用数据线进行连接,备份的过程很简单,运行iTunes工具后,窗口顶部会显示备份的进度, 微信聊天记录怎么恢复?小伙伴们有没有手...

找黑客修改gpa-想当黑客怎么自学(黑客都是怎么自学的)

找黑客修改gpa-想当黑客怎么自学(黑客都是怎么自学的)

找黑客修改gpa相关问题 想当黑客怎么自学相关问题 黑客怎么用手机查找对方号码定位 免费接单黑客联系方式(专业黑客联系方式)...