MAC 病毒 - 資安趨勢部落格

OSX 更新畫面出現山寨版!網路釣魚夾帶惡意軟體,劫持 Apple OS X使用者網路流量

2017 年 07 月 14 日2017 年 07 月 13 日趨勢科技 TrendMicro

OSX_DOK惡意軟體（趨勢科技偵測為OSX_DOK.C）具備像濫用憑證和躲避防毒軟體等進階技術來感染Apple OSX作業系統電腦。這個惡意軟體專門針對瑞士銀行的用戶，利用網路釣魚（Phishing）攻擊來植入惡意軟體，最終利用中間人（MITM）攻擊來劫持使用者的網路流量。OSX_DOK.C就好像是另一個版本的WERDLOD（趨勢科技偵測為TROJ_WERDLOD，被用在Emmental行動的惡意軟體）。我們在本文章中會進一步探討這有趣的關聯。

《延伸閱讀》當你試著想要解鎖手機時，有人已經清空了你的銀行帳戶:再次檢視Emmental犯罪行動

網路釣魚信偽裝成蘇黎世警官，聲稱無法成功連絡到收件者

抵達方式和感染流程

圖1：OSX_DOK.C對Mac系統的感染流程

OSX_DOK.C會透過包含特定.zip或.docx檔案的網路釣魚郵件到達。趨勢科技所分析的樣本偽裝成蘇黎世警官，聲稱無法成功連絡到收件者。該郵件還夾帶兩個聲稱關於詢問使用者問題的檔案：一個是.zip檔案，這是個假 OSX應用程式，而另一個則是用 WERDLOD 針對Windows作業系統的.docx檔案。這兩個樣本都是銀行木馬程式，有著類似的功能。

郵件附件檔所用的檔案還包括以下例子：

Zahlungsinformationen 01.06.2017.zip
Zahlungsinformationen digitec.zip
zip
Dokument 09.06.2017.zip
Dokument 09.06.2017.docx
docx
2017.docx

刪除系統上的 App Store，出現全螢幕的假 OSX更新畫面

一旦點開網路釣魚郵件內的 docx 檔案，就會跳出一個警告視窗：

圖2：OSX上的警告視窗

之後會刪除系統上的App Store，接著出現全螢幕的假OSX更新畫面。

圖3：假 OSX更新畫面

繼續閱讀

Mac 用戶當心!兩隻遠端存取木馬竊取個資,監看電腦螢幕及記錄鍵盤輸入

2017 年 05 月 11 日2017 年 05 月 10 日趨勢科技 TrendMicro

最近出現了兩隻針對 Mac電腦的惡意軟體：Snake（又稱為Turla、Uroburos和Agent.BTZ，趨勢科技偵測為OSX_TURLA.A）和Proton（OSX_PROTON.A）。兩者都是遠端存取木馬，讓攻擊者無須授權就可以遠端連上系統，進而竊取中毒系統內儲存的檔案、資料和密碼，即時監看電腦螢幕並記錄鍵盤輸入。

Snake早在2008年就開始出現在Windows作業系統，並被用在網路間諜活動上。到了2014年，其操作者開發了Linux的版本。Snake透過攻擊一系列的漏洞來侵入目標。其rootkit功能讓它可以隱藏自己的惡意程序和檔案，好隱密的躲在系統內，讓偵測變得更加困難。

Snake利用有問題的Adobe Flash Player安裝程式壓縮檔作誘餌

這一次，他們將Windows版本的後門程式移植到 Mac OS X系統，利用有問題的Adobe Flash Player安裝程式壓縮檔作誘餌。這版本的Snake利用有效的Apple開發者憑證（可能是偷來的）來繞過Gatekeeper（Mac OS X系統的安全功能）程式碼簽章限制，讓它可以在系統內執行。Snake內所出現的除錯功能顯示它仍在開發中，預計很快就可以全面運作。

[延伸閱讀：看看針對 Mac使用者值得注意的威脅]

5月2日- 5月6日間下載過轉檔軟體 HandBrake的 Mac 用戶,當心密碼被竊取

Proton後門程式的操作者入侵HandBrake（一個熱門的開放程式碼轉檔軟體）的備用下載伺服器後開始用來散播惡意軟體。根據HandBrake開發者論壇所發布的安全通告，這個入侵事件發生在5月2日（14:30 UTC）至5月6日（11:00 UTC）間。攻擊者用自己的惡意檔案替換掉原本正常的HandBrake應用程式，其中一個與網站或Github資源庫內的SHA1或SHA256哈希（Hash）不符。繼續閱讀

專挑 MacOS 的勒索病毒, Patcher假修補真加密,付贖金也無法挽回檔案,因為…

2017 年 03 月 07 日2017 年 03 月 09 日趨勢科技 TrendMicro

今年二月初，趨勢科技曾經提過針對非 Windows 系統的勒索病毒將開始崛起，最近出現的 Patcher (趨勢科技命名為：OSX_CRYPPATCHER.A) 正是一個專挑 MacOS 作業系統的勒索病毒 Ransomware (勒索軟體/綁架病毒)。

[相關文章：專挑類 UNIX 系統的勒索病毒將帶來什麼改變]

Patcher 是經由 bittorrent 檔案下載散布，它會偽裝成 Microsoft Office 和 Adobe Premiere Pro 等熱門軟體的修補程式。一旦下載之後，資料夾顯示的應用程式圖示上有「Patcher」字樣。

當其檔案執行時，螢幕上會出現一個假裝準備進行修補的畫面。然而 Patcher 勒索病毒一旦執行，就會開始使用隨機產生的 25 字元加密金鑰來將檔案加密。它會將「/Users」目錄以及掛載到「/Volumes」目錄下的磁碟和外接裝置當中所有檔案加密。此外，也會在使用者的系統上放置一份勒索訊息，勒索的金額為 0.25 比特幣 (約 300 美元)。繼續閱讀

首例! Mac 用戶也不能倖免於勒索軟體,「KeRanger」鎖定蘋果 Mac OS X 系統

2016 年 03 月 09 日2016 年 03 月 09 日趨勢科技 TrendMicro

BitTorrent 用戶端軟體暗藏第一個針對 Mac系統的勒索軟體:KeRanger

熱門的跨平台開放原始碼 BitTorrent 用戶端軟體 Transmission 在官網 (Transmissionbt.com) 上發出緊急通知，呼籲使用者立刻升級至 2.91 版本，並且將 2.90 版刪除。因為，研究人員發現該軟體的安裝程式感染了全世界第一個專門針對 Mac OS X 系統的「KeRanger」勒索軟體 Ransomware 。

這波攻擊一開始的徵兆出現在 3 月 5 日晚上，網路論壇上有人指出 Transmission 2.90 版的安裝程式含有惡意程式，而且其下載連結是 Transmission 的 HTTP 網站而非 HTTPS 網站。從下載連結的改變可以推測Transmission 官網很可能是遭到駭客入侵，並且將原本的安裝程式偷偷換成駭客重新組譯之後的惡意版本。凡是在太平洋標準時間 3 月 4 日上午 11:00 至 3 月 5 日下午 7:00 之間從 Transmission 官網下載 2.90 版安裝程式的使用者，很可能已安裝了 KeRanger 勒索軟體 (趨勢科技命名為：RANSOM_KeRanger.A)。繼續閱讀

[病毒警訊]爆發首例Mac 電腦勒索軟體攻擊事件！蘋果麥金塔用戶拒當肉票,即刻下載防毒軟體

2016 年 03 月 08 日2016 年 03 月 29 日趨勢科技 TrendMicro

蘋果Mac 用戶請即刻下載PC-cillin雲端版 for Mac 防毒軟體

提醒您，近日有駭客針對蘋果Mac 電腦發動勒索軟體 Ransomware攻擊，綁架用戶電腦檔案，藉以索取高額贖金。若您持有Mac蘋果電腦，建議您即刻下載最新版PC-cillin for Mac 防毒軟體，以防範勒索軟體 Ransomware攻擊，保護您在Mac電腦中的重要檔案不會遭到駭客綁架，導致重大財損。