OSX_FLASHBCK打破Mac OS不易中毒的說法,下一波可能是網路銀行木馬攻擊

上週美國逾半Mac遭該殭屍網路感染增加了大家對Mac平台安全性的疑慮, 這個被趨勢科技偵測為OSX_FLASHBCK.AB的木馬程式,持續地在資訊界成為發燒的話題,它打破了Apple公司認為自家的Mac OS不受資安威脅的想法。隨著惡意軟體攻擊的增加目標攻擊的出現。讓我們要重新思考一下Apple公司所自稱的安全。

Flashback不是指單一的惡意軟體,而是一個木馬家族,最近還有許多的後門程式。它最早是在2011年10月出現,那時偽裝成一個Flash Player的安裝程式。之後我們所看到的變種是由攻擊Java漏洞的惡意Java檔案所產生的。Flashback變種通常會透過攻擊Java漏洞來修改瀏覽器的內容。

具體地說,OSX_FLASHBCK.AB來自會攻擊CVE-2012-0507漏洞的惡意Java檔案。這個漏洞在Windows環境上,早在今年二月就已經被修補好了。而Apple在這個月才發布了相同的修補程式給Mac使用者。

http://blog.trendmicro.com/wp-content/uploads/2012/04/SPN_FLASHBACK_chart2.jpg

不管Apple公司怎麼說,Mac作業系統從來就不是真的沒有惡意軟體攻擊,更不用說是任何種類的攻擊了。趨勢科技的威脅研究經理 – Jamz Yaneza認為攻擊者最近著重在Mac OS上,有可能是因為它不斷成長的市佔率。美國是這些Mac相關威脅的首要目標,而Gartner的研究也說明了Mac在這國家的驚人佔有率。 

網路銀行木馬恐鎖定

要注意的是,Mac會吸引網路犯罪分子的原因之一,也可能是因為它的用戶群。Mac電腦的售價一般比Windows電腦要高,這也可能說明了Mac使用者的收入水準。一個2002年的尼爾森研究報告證明這是真的,它的結論是,跟PC使用者比起來,大多數Mac使用者可能有比較好的教育程度跟較高的收入。

在未來,我們也可能會看到其他類型的威脅轉台來針對Mac OS。由於網路銀行的重要性和使用普遍性,網路銀行木馬很可能是下一波入侵Mac的惡意軟體。

趨勢科技對Flashback的防護

趨勢科技產品可以主動偵測並刪除OSX_FLASHBCK.AB以及下列Flashback惡意軟體:

 

 

Flashback並不是Mac使用者所唯一要擔心的資安問題。我們之前也報導過其他會攻擊Mac OS的威脅。你可以參考下列連結來了解相關資訊:

 

《APT /MAC 攻擊》另一起和西藏相關的攻擊活動針對Windows和Mac系統

時代變了 Mac使用者現在也會遭受目標攻擊
時代變了 Mac使用者現在也會遭受目標攻擊
如何打擊假防毒軟體來保護你的Mac
搜尋 Google圖片竟被導入惡意網頁, Mac 用戶也受駭
假防毒軟體在 Mac OS X 作業系統上的感染過程
利用 iOS 漏洞的 iPhone 線上破解

惡意郵件利用社會政治事件作誘餌來進行目標

更多的Mac惡意軟體

 

我們還發表了一篇給消費者的資料圖表 – 「近年惡名昭彰的Mac威脅」,裡面詳細介紹了一般Mac使用者可能會遇到的著名Mac威脅。

 

趨勢科技的使用者不用擔心,Smart Surfing for Mac可以提供完善的保護,及時地偵測Flashback病毒變種。

 

@原文出處:OSX_FLASHBCK: A Backlash to Apple’s Popularity? 作者:Dianne Lagrimas

◎FlashBack 小檔案

OSX_FLASHBCK.AB是利用JAVA漏洞傳播的病毒感染大量MAC作業系統,截止至2012年3月感染數量已達60萬台。

該病毒利用的JAVA漏洞有:

CVE-2008-5353

CVE-2011-3544

CVE-2012-0507

 

技術細節與惡意行為:

1、當用戶被重定向至帶有惡意程式碼的頁面時,會載入一段包含漏洞的Java小程式。

這個漏洞在被感染機器上釋放一個可執行檔,用來與遠端伺服器連接並執行其它惡意行為。

注意:這些網站往往會打著下載或更新一個“新版本的Flash Player”的幌子來欺騙用戶來下載,並會請求使用者輸入管理員密碼。故此病毒被命名為flashback。

 

2、病毒第一次運行時會搜索特定路徑是否含有以下防毒軟體元件:

/Library/Little Snitch

/Developer/Applications/Xcode.app/Contents/MacOS/Xcode

/Applications/VirusBarrier X6.app

/Applications/iAntiVirus/iAntiVirus.app

/Applications/avast!.app

/Applications/ClamXav.app

/Applications/HTTPScoop.app

/Applications/Packet Peeper.app

如果沒有發現,後門程式會通過特殊的途徑生成一個控制伺服器列表,將安裝成功的通知內容發送至攻擊者的伺服器,並且根據伺服器清單進行連續性查詢。

 

3、之後,主機會被接入到一個殭屍網路/傀儡網路 Botnet,攻擊者會在主機上安裝額外的惡意模組,某些模組偽造搜尋引擎結果,提供錯誤的搜索結果,並利用“點擊欺詐”產生利潤。

除此以外,攻擊者也會上傳其他元件,例如資料竊取,垃圾郵件(SPAM)等模組。這個惡意軟體會使用負載均衡技術,動態切換伺服器。每個被控端將被賦予唯一的ID並發送至控制伺服器。

 

解決方案

趨勢科技建議使用以下方法進行防護OSX_FLASHBCK.AB

1、使用趨勢科技防病毒產品刪除被檢測為OSX_FLASHBCK.AB病毒的檔。如果被檢測到的病毒檔已經被趨勢科技防病毒產品清除、刪除或隔離,不需要再做任何操作。您可以選擇刪除隔離檔。請訪問Knowledge Base page獲取更多詳細資訊。

2、建議至以下連結處下載由供應商發佈的正式修正程式:

http://support.apple.com/kb/ht5228

◎相關報導:
蘋果釋出軟體更新修補Java漏洞 但只支援OS X 10.6與10.7版本
Mac史上最大規模感染 蘋果官方承認數以千台Mac遭駭
美國逾半Mac遭Flashback殭屍網路感染

@延伸閱讀

趨勢科技的Smart Surfing for Mac可以封鎖惡意網址連結,並定期掃描Mac上的惡意軟體來偵測並清除病毒和間諜軟體–>即刻下載試用

*中文版即將上市,敬請鎖定趨勢科技粉絲頁相關訊息公告。

 

◎相關報導:
蘋果釋出軟體更新修補Java漏洞 但只支援OS X 10.6與10.7版本
Mac史上最大規模感染 蘋果官方承認數以千台Mac遭駭
◎ 歡迎加入趨勢科技社群網站