新ｳｲﾙｽ ZIP配布 拡張子とｱｲｺﾝ偽造 ﾀﾞﾌﾞﾙｸﾘｯｸ 実行

1 ：名称未設定：2016/07/09(土) 12:32:29.27 ID:opPD9qI10.net

http://news.mynavi.jp/news/2016/07/09/031/

ESETは7月6日(米国時間)、「New OSX/Keydnap malware is hungry for credentials」において、
バックドアとして動作するとともにキーチェーンアクセスから認証情報などを
摂取するMacをターゲットとした新しいマルウェア「OSX/Keydnap」について伝えた。

マルウェア「OSX/Keydnap」はZIPファイルの形式で配布されており、
メッセージなどに添付される形で広まっているとされている。
ZIPファイルを展開すると中から画像(.jpg)ファイルやテキスト(.txt)ファイルの
ように見えるファイルが展開されてくる。しかし、このファイル名の最後には
空白が1つ含まれており、実際の拡張子は別のものになっている。
アイコンデータが偽装されているため、実行ファイルであることに気がつきにくく、
中身を見ようとしてダブルクリックしてしまうとマルウェアが実行されてしまう仕組みになっている。

実際にはシェルで実行される実行ファイルであるため、ダブルクリックすると
一瞬だけターミナルアプリが起動してくる。しかし、すぐに終了してしまうため
実行されたことに気がつかず、ダミーで表示される画像やテキストの表示を
見て感染に気がつけない可能性がある。実行されるのはダウンローダになっており、
ほかのマルウェアをダウンロードしてバックドアとして機能するとともに、
キーチェーンアクセス経由でパスワードなどの情報を窃取していくようになる。

2 ：名称未設定：2016/07/09(土) 12:40:37.99 ID:01rTFswR0.net

わざわざスレ立ててまでする話じゃないだろー？

3 ：名称未設定：2016/07/09(土) 12:45:19.24 ID:opPD9qI10.net

なんかWindows用のウイルスと手口が一緒だな

4 ：名称未設定：2016/07/09(土) 12:45:59.49 ID:opPD9qI10.net

>>2
いやね、こんな手口が使えるのはWindowsだけだと
思っていたんですよ。

5 ：名称未設定：2016/07/09(土) 15:42:24.62 ID:w1TPtiqg0.net

そろそろ無料のウイルス対策ソフトじゃなくて有料のウイルス対策ソフトも必須になりそうやね

6 ：名称未設定：2016/07/09(土) 16:58:25.29 ID:Zb3+56ME0.net

Mac使っててテキストや画像の中身確認する時にダブルクリックするのか？
クイックルックで実行されるなら脅威だが

7 ：名称未設定：2016/07/09(土) 17:25:50.55 ID:SxGxG54u0.net

まぁこういうこともあろうかと、
キーチェーンにセーブする機能は一切使ってないけどね。

8 ：名称未設定：2016/07/09(土) 20:45:19.26 ID:83rK0xvI0.net

怖いねー

9 ：名称未設定：2016/07/09(土) 21:41:21.40 ID:YVvojOEM0.net

>>6
それだとサンドボックスで保護効くね＞クイックルック

10 ：名無しさん＠そうだ選挙に行こう！ Go to vote!：2016/07/10(日) 07:16:02.28 ID:VG9Wsjlx0.net

そうだね
ZIPファイルのほうを偽装すればいいのに

11 ：名無しさん＠そうだ選挙に行こう！ Go to vote!：2016/07/10(日) 10:28:17.77 ID:KHXijdP30.net

>>10
怪しくないものを一段かますことで、
間違えやすくしてるんだよ

12 ：名無しさん＠そうだ選挙に行こう！ Go to vote!：2016/07/10(日) 12:03:02.95 ID:fVfdlKRq0.net

キーチェーンのような重要な情報にアクセスするには管理者パスワードが必要な気がするけど、
シェルプログラムだと要求されないものなの？
あるいは、バックグラウンドプロセスとしてキーチェーンに入っていく情報を横から盗み取るとか？

13 ：名無しさん＠そうだ選挙に行こう！ Go to vote!：2016/07/10(日) 13:27:50.97 ID:VK/axPhR0.net

今回あてはまるかわかんないけど
キーチェーンの個々のパスワードを常にアクセス許可にしてるとターミナルでsecurityコマンド使ってもダイアログ出ない
security find-internet-password -g -s www.amazon.co.jp

14 ：名無しさん＠そうだ選挙に行こう！ Go to vote!：2016/07/10(日) 18:13:45.95 ID:I7SY76230.net

ログを見ると、

Safari[941]: KeychainGetICDPStatus: status: off
Safari[941]: KeychainGetICDPStatus: keychain: -25300

とかいうのがやたらあるんだけど感染したのかこれ？

15 ：名称未設定：2016/07/11(月) 01:31:55.37 ID:YKxYdEyz0.net

うちも出てる
Safariの起動時に出るようだ

感染はないだろ

16 ：名称未設定：2016/07/17(日) 17:38:41.25 ID:DG49eNCm0.net

ということは、Esetのウイルス対策ソフト入れてたら大丈夫ってこったろ？

17 ：名称未設定：2017/11/08(水) 05:29:15.96 ID:J9S6vbRK0.net

御用心
Esetはパイロマニア