蘋果 Mac 電腦 - 資安趨勢部落格

Mac用戶當心山寨版 iTerm2 App的網路釣魚攻擊

2021 年 10 月 18 日2021 年 10 月 19 日趨勢科技 TrendMicro

一款偽裝 iTerm2 App的應用程式會下載並執行惡意軟體，並從受害者電腦裡收集個人資料。

在九月初，中國問答網站知乎上有一位使用者回報搜尋關鍵字iTerm2會出現一個山寨網站item2.net，它偽裝成合法的iterm2.com（圖 1）。但透過iterm2.net上的連結會下載到惡意版本的iTerm2 App（macOS 終端模擬器）。當執行此應用程式時，它會下載並執行g.py，一個來自47[.]75[.]123[.]111的惡意Python腳本。這惡意腳本被趨勢科技偵測為TrojanSpy.Python.ZURU.A，它會從受害者電腦上收集個人資料。

一款偽裝 iTerm2 App的應用程式會下載並執行惡意軟體，並從受害者電腦裡收集個人資料。

在本月初，中國問答網站知乎上有一位使用者回報搜尋關鍵字iTerm2會出現一個山寨網站item2.net，它偽裝成合法的iterm2.com（圖 1）。但透過iterm2.net上的連結會下載到惡意版本的iTerm2 App（macOS 終端模擬器）。當執行此應用程式時，它會下載並執行g.py，一個來自47[.]75[.]123[.]111的惡意Python腳本。這惡意腳本被趨勢科技偵測為TrojanSpy.Python.ZURU.A，它會從受害者電腦上收集個人資料。

Figure 1. The fraudulent website iterm2.net — 圖 1. 詐騙網站iterm2.net

Objective-see之前發表一篇關於此惡意軟體的文章，分析了駭客如何重新封裝iTerm2 App來載入惡意的libcrypto.2.dylib。它會下載並執行其他組件，包括前面提到的g.py腳本和名為「GoogleUpdate」的Mach-O檔案（裡面包含了Cobalt Strike beacon）。這篇文章提供了惡意軟體的詳細資訊。

繼續閱讀

OceanLotus 駭客集團最新 MacOS 後門程式現身

2020 年 12 月 08 日2021 年 03 月 11 日趨勢科技 TrendMicro

最近趨勢科技發現了一個應該是由 OceanLotus 駭客集團所開發的最新後門程式 (趨勢科技命名為 Backdoor.MacOS.OCEANLOTUS.F)，增加了一些新的行為與網域名稱。

由於它的動態行為與程式碼都與先前的 OceanLotus 惡意程式類似，因此我們確定這應該是 OceanLotus 惡意程式的變種。

Old OceanLotus — 圖 1 至 2：舊的 OceanLotus 樣本 (上) 與最新的 OceanLotus 樣本 (下)。

繼續閱讀

針對韓國使用者的Mac後門程式

2019 年 11 月 25 日2019 年 11 月 25 日趨勢科技 TrendMicro

犯罪分子對MacOS的興趣越來越高，病毒作者不斷地開發更多攻擊熱門作業系統的惡意威脅。之前被發現使用內嵌巨集的Microsoft Excel檔案來攻擊韓國使用者的網路犯罪組織Lazarus,近日開始散播新Mac後門程式（趨勢科技偵測為Backdoor.MacOS.NUKESPED.A），

與 Lazarus 前幾代的相似之處

趨勢科技分析了一個由Twitter使用者cyberwar_15所發現的惡意樣本，發現該樣本使用了內嵌巨集的Excel文件，這類似於Lazarus集團之前的攻擊。

https://blog.trendmicro.com/trendlabs-security-intelligence/files/2019/11/Figure_1_mac_lazarus.jpg

圖1. 試算表出現一個有名的心理測驗（類似這裡找到的測驗）。按下左上方的笑臉會根據使用者答案出現不同回應。

繼續閱讀

Mac 需要防毒軟體嗎？蘋果電腦也不要輕忽上網安全（中毒、病毒防護推薦）

2019 年 02 月 13 日2019 年 02 月 13 日趨勢科技TrendMicro

大家一定都聽說過「蘋果 Mac 電腦不會中毒」這種說法吧？這種說法其實蠻接近事實，但也不完全正確；尤其在現在 Mac 越來越普及的時候，如果還抱持著肯定不會中毒的心態上網，其實是非常危險的！

這邊就告訴大家，Mac 電腦到底會不會中毒、以及是否該安裝防毒軟體；大家也可以分享這篇文章給蘋果電腦的用戶們，千萬不要太過大意囉！www.getyourguide.com.tw/吉薩金字塔-旅遊/開羅Sponsored金字塔 – 網路預定活動 | getyourguide.com超值吉薩金字塔熱門景點行程即票券，馬上預定，立享特惠！閱讀更多

為什麼大家都說 Mac 不會中毒？

先說結論：Mac 其實「還是有可能中毒的」！只是機率比起 Windows 電腦較低。

原因也很好理解，駭客們辛苦開發出一款病毒，自然是希望這病毒能夠擴散的越廣越好；根據 Netmarketshare 在 2018 年的資料，Windows 作業系統的市佔率約 88%、MacOS 約 9%，其餘才是 Linux、ChromeOS 等等作業系統。

▲ Windows 的市佔率約是 Mac 的十倍。

也就是說，Windows 電腦數量幾乎是 Mac 的十倍！如果你是駭客，你會鎖定 Mac 還是 Windows？

所以 Mac 一定不會中毒嗎？

也不然，Mac 因為市占低，所以病毒少，但並不代表沒有駭客鎖定這個「潛在市場」；而且隨著蘋果電腦越賣越多，駭客們針對 Mac 系統開發病毒也是遲早的事。

▲ Mac 上的勒索病毒 MacRansom。

繼續閱讀

新漏洞讓大部分蘋果電腦後門永遠敞開

2015 年 06 月 12 日2015 年 06 月 11 日趨勢科技 TrendMicro

距離第一個蘋果 Mac 電腦後門漏洞 Thunderstrike 被揭發的時間不過數月，現在又被發現了另一個漏洞，同樣也是後門漏洞。而兩個之間有何差異呢？此漏洞與 Thunderstrike 不同之處在於，歹徒不需實際接觸到電腦就能得逞。事實上，駭客可以遠在世界的另一端就能攻擊此漏洞。

這個由 OS X 作業系統資安研究人員 Pedro Vilaca所發現的最新漏洞，讓駭客可將惡意程式安裝到 Mac 電腦的 BIOS 中。它是透過作業系統使用者空間 (userland) 當中的一項功能來達成 (使用者空間就是應用程式和驅動程式所執行的空間)。一旦惡意程式進入了 BIOS，每次電腦開機時，惡意程式都能搶在作業系統「之前」預先載入，因此非常難以清除 (即使並非不行)。

這個漏洞如何運作？首先要在Mac 從睡眠中重新啟動時立即攻破 BIOS 保護機制。在正常情況下，BIOS 區域對於使用者空間的應用程式來說是唯讀的，因為 BIOS 受到一個名為 FLOCKDN 的機制所保護。但基於某些理由，當 Mac 從睡眠模式重新啟動時會暫時解除 FLOCKDN 機制，就在這段期間，BIOS 中的韌體對應用程式來說不再是唯讀狀態，因此讓惡意程式有機會將它改寫，這項韌體寫入動作一般稱為重刷 (Reflashing) BIOS，而網路上也有免費的現成應用程式可執行這項動作，例如：Flashrom。如同 Vilaca 在文章中指出，這項手法不需實際接觸目標 Mac 電腦就能做到。他在部落格當中詳細說明了這項漏洞，事實上根據他的說法，只需利用某個含有惡意程式的網站發動順道下載攻擊就能重刷 BIOS。

當然，情況也沒那麼糟，至少要成功感染電腦不是那麼輕而易舉。駭客若要成功，首先必須透過某個漏洞來讓他取得 OS X 系統管理員 (root) 權限，但其實網路上這樣的攻擊很少。此外，駭客還要想辦法讓系統進入睡眠，如此才能取得攻擊機會，不過根據 Vilaca 的看法，這算是整個過程當中較容易的環節，因為攻擊程式可以設計成當偵測到系統要進入睡眠時才啟動，或者強迫系統進入睡眠。

現在我們知道有這樣的漏洞，那到底哪些系統可能受到影響？Vilaca 指出，在 2014 年中期之前出廠的蘋果電腦都可能受到此漏洞影響。此外他還指出，他已在一台 MacBook Pro Retina、一台 MacBook Pro 8.2 以及一台 MacBook Air 上試驗成功，而這些電腦全都使用蘋果提供的 EFI 韌體。至於 2014 年中期之後出廠的電腦則對這項攻擊免疫，Vilaca 並未解釋箇中原因。據他猜測，有可能是蘋果暗自修補了這項漏洞，不然就是意外修正了這項漏洞。

這項漏洞是否有防範之道？答案是「有」也「沒有」。針對這項漏洞，使用者能做的不多，不過使用者還是可以設定系統在閒置時不要進入睡眠。此外，進階使用者也可以下載 Trammell Hudson (Thunderstrike 的作者) 所提供的軟體來將 BIOS 晶片上的內容傾印 (dump，也就是複製) 出來。然後再將傾印出來的內容與蘋果的原始韌體檔案比對一下，就可知道是否遭人植入惡意程式 (因為重刷過之後的 BIOS 一定會和原始韌體不同)。

隨著越來越多諸如此類的蘋果系統漏洞浮上檯面，歹徒遲早會開始將這些漏洞用於不良意圖，因此，Mac 使用者應盡速妥善保護自己的裝置。正如我們一開始所大聲疾呼的，想要藉由資訊不透明來保障系統安全，再也行不通了，尤其在今日的威脅環境下。

◎原文來源: New Vulnerability Leaves Most Apple Machines Vulnerable to Permanent Backdoor Badness