Slijede razlike između dviju inačica stranice.
| Starije izmjene na obje strane Starija izmjena Novija izmjena | Starija izmjena | ||
|
racfor_wiki:datoteke_i_datotecni_sustavi:napadi_na_mac_os [2020/01/09 19:40] lmedic [Sažetak] |
racfor_wiki:datoteke_i_datotecni_sustavi:napadi_na_mac_os [2024/12/05 12:24] (trenutno) |
||
|---|---|---|---|
| Redak 15: | Redak 15: | ||
| <font 14px/ | <font 14px/ | ||
| - | * <font 14px/ | + | * <font 14px/ |
| * <font 14px/ | * <font 14px/ | ||
| - | * <font 14px/ | + | * <font 14px/ |
| <font 14px/ | <font 14px/ | ||
| Redak 27: | Redak 27: | ||
| <font 14px/ | <font 14px/ | ||
| + | ===== Uvod ===== | ||
| - | ===== Introduction | + | ===== Leap i RSPlug |
| + | |||
| + | ==== Leap ==== | ||
| + | |||
| + | Oompa-Loompa malware, koji se još zove i OSX/Oomp-A ili Leap.A, je virusna aplikacija koju je 14. veljače 2006. otkrila tvrtka za zaštitu Apple-a Intego. Leap se ne može širiti Internetom i može se širiti samo po lokalnoj mreži koja je dostupna putem Bonjour protokola. Kod većine mreža to znači ograničenje na jednu IP podmrežu. | ||
| + | |||
| + | Leap se širi putem iChat programa za razmjenu instant poruka kao gzip komprimirana tar datoteka pod nazivom '' | ||
| + | Izvršni program je prerušen u standardnu ikonu slikovne datoteke i tvrdi da prikazuje pregled Appleovog sljedećeg OS-a. Jednom kada se pokrene, crv će pokušati zaraziti sustav. Za korisnike koji nisu administratori tražit će se lozinka računala da bi se stekla privilegija za uređivanje konfiguracije sustava. Ne inficira aplikacije na disku. Leap inficira samo Cocoa aplikacije i ne inficira aplikacije u vlasništvu sustava (uključujući one koje su unaprijed instalirane na novom računalu), već samo aplikacije u vlasništvu korisnika koji je trenutno prijavljen. Obično to znači aplikacije koje trenutni korisnik instalirao, a ne Appleov instalacijski sustav. Kada se pokrene zaražena aplikacija, Leap pokušava zaraziti četiri najkorištenije aplikacije te ukoliko te četiri ne zadovoljavaju navedene uvjete, infekcija prestaje u tom trenutku. \\ | ||
| + | Jednom aktiviran, Leap se pokušava širiti putem iChat Bonjour liste korisnika. Ne širi se putem glavne iChat liste prijatelja, niti preko XMPP. Prema zadanim postavkama, iChat ne koristi Bonjour i stoga ne može prenijeti ovog crva. Leap ne briše podatke, ne špijunira sustav niti preuzima kontrolu nad njim, ali ima jedan štetan učinak: zbog greške u samom crvu, zaražena aplikacija se neće pokrenuti. Ovo je korisno jer sprečava ljude da nastave širiti zaraženi program. | ||
| + | |||
| + | Uobičajena metoda zaštite od ove vrste računalnog crva je izbjegavanje pokretanja datoteka iz nepouzdanih izvora. Najmanje jedan administrativni račun mora ostati u sustavu kako bi se instalirao softver i promijenile vitalne postavke sustava, čak i ako je račun kreiran isključivo u tu svrhu. Oporavak nakon infekcije uključuje brisanje datoteka s računalnog crva i zamjenu zaraženih aplikacija svježim kopijama. Ne zahtijeva ponovnu instalaciju OS-a, budući da su aplikacije u vlasništvu sustava imune. | ||
| + | |||
| + | ==== RSPlug ==== | ||
| + | |||
| + | RSPlug trojanski konj, oblik DNSChanger-a, | ||
| + | Nekoliko varijanti RSPlug trojanca pronađeno je prije svega na pornografskim web stranicama prerušenim u video codecs, a neke varijante uočene su na web lokacijama koje nude preuzimanja igara. Jednom kad se instalira OSX.RSPlug.A, | ||
| + | |||
| + | Postoji i verzija OSX.RSPlug Trojan koja cilja Windows platformu, a upravo je ta verzija vodila tehničkog menadžera u F- Secureu koji je sugerirao da je grupa iza Mac Trojan-a koji se mijenja DNS- a ista grupa koja stoji iza Zloba trojanskog. Međutim, Intego je napomenuo da oni koji stoje iza trojanskog konja RSPlug zaustavljaju svoje aktivnosti prije onih koji kontroliraju zlonamjerni softver Windows, te da je vjerojatno da to nisu isti ljudi. \\ | ||
| + | Kao dio //Operacije Ghost Click//, u studenom 2009. godine FBI je srušio " | ||
| + | |||
| + | ===== Ostali napadi na Mac OS ===== | ||
| + | |||
| + | ==== MacSweeper ==== | ||
| + | |||
| + | MacSweeper je zlonamjerna aplikacija koja korisnike obmanjuje pretjeranim izvještajima o špijunskom softveru, adware-u ili virusima na njihovom računalu. To je prva poznata " | ||
| + | MacSweeper bi se mogao preuzeti putem softverske web stranice KiVVi, kao " drive-by" | ||
| + | |||
| + | \\ | ||
| + | Grafičko korisničko sučelje i ponašanje MacSweepera gotovo su identični drugom programu koji objavljuje KiVVi Software, Cleanator . Cleanator je, međutim, dizajniran za Windows operativne sustave.\\ | ||
| + | Tvrtke kao što su McAfee, Symantec i Sunbelt Software prepoznale su prijetnju i na svojim web stranicama objavile upute za\\ | ||
| + | uklanjanje, Intego VirusBarrier i iAntivirus su također sposobne za ukloniti ga. SiteAdvisor testovi provode se na računalima koja ne mogu prepoznati .dmg, format datoteke MacSweeper. MacSweeper je privukao veliku pozornost medija s web stranica kao što je CNET, jer se smatra jednim od prvih slučajeva zlonamjernog softvera namijenjenog operacijskom sustavu Mac OS X. | ||
| + | |||
| + | Nakon što je F-Secure upozorio Macintosh korisnike na uljeza, MacSweeper je odgovorio na web stranici F-Secure rekavši: | ||
| + | |||
| + | //Želio bih objasniti svu situaciju, oko MacSweepera. Mi se stvarno trudimo napraviti dobar softver, a vi nećete pronaći bilo koji virus / špijunski softver / trojanski / zlonamjerni softver u MacSweeperu (testirajte ga sami, ako mi ne vjerujete, možete koristiti bilo koju vrstu firewall-a, dissemblera ili drugih alata). Problem je što nas partnere za prodaju prisiljavaju na upotrebu ove vrste marketinga. Željeli bismo ih napustiti, ne želimo potpuno uništiti MacSweeper aplikaciju.// | ||
| + | |||
| + | //Osobno obožavam Mac platformu, a boli me kad čujem da je program koji ste napisali neka vrsta "Rogue aplikacije", | ||
| + | |||
| + | // | ||
| + | |||
| + | //Hvala vam! support@macsweeper.com// | ||
| + | ==== Mac Defender ==== | ||
| + | |||
| + | Mac Defender (poznat i kao Mac Protector, Mac Security, Mac Shield i FakeMacDef) je internetski sigurnosni program koji cilja računala koja rade na macOS-u. Tvrka Intego otkrila je lažni antivirusni softver 2. svibnja 2011. Softver je opisan kao prva velika prijetnja na Macintosh platformi (iako ne oštećuje nijedan dio OS X).\\ | ||
| + | Prijavljena je varijanta programa poznata kao Mac Guard koja ne zahtijeva da korisnik unese lozinku za instaliranje programa, iako instalacijski program se i dalje mora pokretati. | ||
| + | |||
| + | \\ | ||
| + | Korisnici obično nailaze na program prilikom otvaranja slike pronađene na tražilici. Pojavljuje se kao skočni prozor koji pokazuje da su virusi otkriveni na računalu korisnika i sugerira im da preuzmu program koji, ako je instaliran, pruža osobne podatke korisnika neovlaštenim trećim stranama. Program se pojavljuje u zlonamjernim vezama na tražilicama na web stranicama kao što je Google Image Search. Kad korisnik pristupi takvoj zlonamjernoj vezi, pojavljuje se lažni prozor za skeniranje, izvorno u stilu Windows XP aplikacije, ali kasnije u obliku " | ||
| + | |||
| + | Umjesto da štiti od virusa, Mac Defender otima korisnikov internetski preglednik kako bi prikazivao web-stranice povezane\\ | ||
| + | sa pornografijom te kako bi se krao identitet korisnika (prosljeđivanjem i zlouporabom podataka o kreditnoj kartici). | ||
| + | |||
| + | Softver je praćen putem njemačkih web stranica, do ruskog internetskog plaćanja ChronoPay. Mac Defender je do ChronoPay-a praćen putem adrese e-pošte financijskog kontrolera ChronoPay Alexandra Volkova. | ||
| + | |||
| + | defence.com i macbookprotection.com, | ||
| + | |||
| + | Prema Sophosu, do 24. svibnja 2011. bilo je šezdeset tisuća poziva tehničkoj podršci AppleCare o pitanjima vezanim uz Mac Defender, a Ed Bott iz ZDNet-a izvijestio je da je broj poziva AppleCareu povećan zbog Mac Defendera i da se većina tadašnjih poziva odnosi na Mac Defender. AppleCareovim zaposlenicima rečeno je da ne pomažu pozivateljima u uklanjanju softvera. Rečeno im je da ne upućuju pozivatelje kako da koriste Force Quit i Monitor Monitor kako bi zaustavili Mac Defender, kao i da ne usmjeravaju pozivatelje u bilo kakve antivirusne programe. | ||
| + | |||
| + | Apple je izdao upute o sprječavanju i uklanjanju zlonamjernog softvera. Mac OS X sigurnosno ažuriranje 2011-003 objavljeno je 31. svibnja 2011. i uključuje ne samo automatsko uklanjanje trojana i drugih sigurnosnih ažuriranja, | ||
| + | |||
| + | ==== Flashback ==== | ||
| + | |||
| + | OSX.FlashBack, | ||
| + | |||
| + | Prema ruskoj antivirusnoj tvrtki Dr. Web , modificirana verzija varijante " | ||
| + | |||
| + | \\ | ||
| + | U originalnoj varijanti upotrijebljen je lažni instalacijski program Adobe Flash Player za instaliranje zlonamjernog softvera, otuda i naziv " | ||
| + | |||
| + | Oracle , tvrtka koja razvija Java, riješila je ranjivost iskorištenu za instaliranje Flashback-a 14. veljače 2012. Međutim, Apple održava Mac OS X verziju Jave i nije objavio ažuriranje koje sadrži ispravku do 3. travnja 2012., nakon što je kvar već iskorišten za instaliranje Flashback-a na 600.000 Mac-ova. Ažurirano Java izdanje dostupno je samo za Mac OS X Lion i Mac OS X Snow Leopard; izdan je uslužni program za uklanjanje za Intelove verzije Mac OS X Leopardapored dva novija operativna sustava. Korisnicima starijih operativnih sustava savjetovano je da onemoguće | ||
| + | |||
| + | ==== Keydnap ==== | ||
| + | |||
| + | OSX.Keydnap je MacOS X temelji trojanski konj koji krade lozinke od iCloud Keychain. Koristi kapaljku za uspostavljanje stalnog stražnjeg prostora za vrijeme korištenja MacOS-ovih ranjivosti i sigurnosnih značajki kao što su Gatekeeper, iCloud Keychain i sustav imenovanja datoteka. Prvi su ga put otkrili početkom srpnja 2016. istraživači ESET-a, koji su i otkrili da se distribuira putem kompromitirane verzije Torrent klijenta za prijenos | ||
| + | |||
| + | OSX.Keydnap se u početku preuzima u obliku Zip arhive. Ova arhiva sadrži jednu Mach-O datoteku i Resource fork koja sadrži ikonu za izvršnu datoteku, koja je obično JPEG ili slika tekstualne datoteke. Dodatno, kapaljka koristi prednost načina na koji OS X rukuje s datotekama dodavanjem razmaka iza proširenja naziva datoteke, na primjer - kao " | ||
| + | |||
| + | Ovo početno izvršenje čini tri stvari. Prvo, preuzima i izvršava stražnju komponentu. Drugo, preuzima i otvara dokument s ukrašenim listovima da bi se podudarao s onim što se datoteka dropper pretvara. Konačno, napušta Terminal kako bi se prikrio da je ikada otvoren. Terminal se otvara samo na trenutak.\\ | ||
| + | Budući da preuzimatelj nije uporan, preuzeta backdoor komponenta pokreće postupak nazvan " | ||
| + | |||
| + | Mac OS koristi Gatekeeper za provjeru je li aplikacija potpisana s važećim certifikatom Apple Developer ID koji sprečava pokretanje\\ | ||
| + | OSX.Keydnap. Nadalje, čak i ako korisnik ima Gatekeeper isključen, | ||
| + | |||
| + | Aktiviranje Gatekera jednostavan je način za sprječavanje slučajne instalacije OSX.Keydnap. Ako je Mac korisniku aktiviran Gatekeeper, zlonamjerna datoteka neće se izvršiti i korisniku će se prikazati upozorenje. To je zato što je zlonamjerna Mach-O datoteka nepodpisana, | ||
| + | |||
| + | ==== KeRanger ==== | ||
| + | |||
| + | KeRanger (poznat i kao OSX.KeRanger.A ) je ransomware trojanski konj koji cilja računala na kojima sa Mac OS-om. Otkrivio ga je Palo Alto Networks 4. ožujka 2016., a utjecao je na više od 7000 Mac korisnika.\\ | ||
| + | KeRanger se na računalu žrtve instalira pomoću kompromitiranog instalatora za Transmission, | ||
| + | |||
| + | Dana 4. ožujka 2016., Palo Alto Networks dodao je Ransomeware.KeRanger.OSX svojoj bazi podataka o virusima. Dva dana nakon toga objavili su opis i kod. Jedini način na koji je zlonamjerni softver inficirao računalo žrtve bio je pomoću važećeg potpisa programera koji je izdao Apple, što mu je omogućilo zaobići Appleovu ugrađenu sigurnost. | ||
| + | |||
| + | KeRanger šifrira svaku datoteku (tj. Test.docx) tako što prvo kreira šifriranu verziju koja koristi .enkriptirano proširenje (tj. Test.docx.encrypted.) Za šifriranje svake datoteke, KeRanger započinje generiranjem slučajnog broja (RN) i šifrira RN s RSA ključem dohvaćenim s C2 poslužitelja pomoću RSA algoritma. Potom pohranjuje šifrirani RN na početak rezultirajuće datoteke. Zatim će generirati vektor inicijalizacije (IV) koristeći originalni sadržaj datoteke i pohraniti IV unutar rezultirajuće datoteke. Nakon toga miješat će RN i IV kako bi se generirao AES ključ za šifriranje. Na kraju, pomoću ove AES tipke za šifriranje sadržaja izvorne datoteke i upisivanje svih šifriranih podataka u rezultirajuću datoteku. | ||
| + | |||
| + | Nakon povezivanja s C2 poslužiteljem, | ||
| + | |||
| + | * Dokumenti: .doc, .docx, .docm, .dot, .dotm, .ppt, .pptx, .pptm, .pot, .potx, . potm, .pps, .ppsm, .ppsx, .xls, .xlsx, .xlsm, .xlt, .xltm, .xltx, .txt, .csv, .rtf, .te | ||
| + | * Slike: .jpg, .jpeg | ||
| + | * Audio i video: .mp3, .mp4, .avi, .mpg, .wav, .flac | ||
| + | * Arhiva: .zip, .rar., .Tar, .gzip | ||
| + | * Izvorni kod: .cpp, .asp, .csh, .class, .java, .lua | ||
| + | * Baza podataka: .db, .sql | ||
| + | * E-adresa: .eml | ||
| + | * Certifikat: .pem | ||
| - | ===== Povijest ===== | ||
| ===== .plist datoteke ===== | ===== .plist datoteke ===== | ||
| Redak 36: | Redak 139: | ||
| Windows Registry je hijerarhijska baza podataka koja pohranjuje postavke konfiguracije u operacijskim sustavima Microsoft Windows. Sadrži postavke za komponente operativnog sustava i za programe koji rade na platformi. Kod Mac OS ne postoji Mac Registry kao kod Windows operacijskih sustava, ali ako je Windows Registry mjesto na kojem se pohranjuju postavke sustava i aplikacija, tada bi Mac ekvivalent Windows Registry bio niz .plist datoteka u nekoliko mapa na Mac-u. | Windows Registry je hijerarhijska baza podataka koja pohranjuje postavke konfiguracije u operacijskim sustavima Microsoft Windows. Sadrži postavke za komponente operativnog sustava i za programe koji rade na platformi. Kod Mac OS ne postoji Mac Registry kao kod Windows operacijskih sustava, ali ako je Windows Registry mjesto na kojem se pohranjuju postavke sustava i aplikacija, tada bi Mac ekvivalent Windows Registry bio niz .plist datoteka u nekoliko mapa na Mac-u. | ||
| - | .plist datoteka je konfiguracijska datoteka koja sadrži popis nekretnina u običnog teksta ili binarnom formatu. | + | Postoje dvije lokacije na kojima se nalaze zajedničke .plist datoteke sustava i aplikacija. Prva je specifična za korisnika i nalazi se na sljedećem mjestu: |
| + | |||
| + | < | ||
| + | ''/ | ||
| '' | '' | ||
| </ | </ | ||
| Redak 42: | Redak 148: | ||
| Druga lokacija se nalazi u korijenu sustava: | Druga lokacija se nalazi u korijenu sustava: | ||
| - | < | + | < |
| + | ''/ | ||
| </ | </ | ||
| U ovim mapama može se uočiti velik broj datoteka s popisima koji slijede obrnutu konvenciju o nazivu domene (npr. com.apple.sample). Pojedini primjeri plist datoteka za konfiguraciju sustava izgledaju ovako: | U ovim mapama može se uočiti velik broj datoteka s popisima koji slijede obrnutu konvenciju o nazivu domene (npr. com.apple.sample). Pojedini primjeri plist datoteka za konfiguraciju sustava izgledaju ovako: | ||
| - | < | + | < |
| + | '' | ||
| com.apple.AddressBook.plist | com.apple.AddressBook.plist | ||
| com.apple.finder.plist | com.apple.finder.plist | ||
| Redak 57: | Redak 165: | ||
| U istoj mapi nalaze se plist datoteke povezane s instaliranim aplikacijama u sustavu. | U istoj mapi nalaze se plist datoteke povezane s instaliranim aplikacijama u sustavu. | ||
| - | < | + | < |
| + | '' | ||
| com.google.Chrome.plist | com.google.Chrome.plist | ||
| org.herf.Flux.plist | org.herf.Flux.plist | ||
| Redak 65: | Redak 174: | ||
| Ukoliko se konfiguracijske plist datoteke sustava i aplikacija otvore u programu za uređivanje teksta (Notepad, Text Editor), primjetit ćemo da su mnoge od njih u binarnom formatu što je izazov za čitanje i razumijevanje, | Ukoliko se konfiguracijske plist datoteke sustava i aplikacija otvore u programu za uređivanje teksta (Notepad, Text Editor), primjetit ćemo da su mnoge od njih u binarnom formatu što je izazov za čitanje i razumijevanje, | ||
| - | < | + | < |
| + | '' | ||
| </ | </ | ||
| Primjer naredbe za čitanje svih ekstenzija: | Primjer naredbe za čitanje svih ekstenzija: | ||
| - | < | + | < |
| + | '' | ||
| </ | </ | ||
| Baš kao što izmjena Windows Registry-a može poremetiti sustav, tako treba biti oprezan kod izmjene plist postavki sustava ili aplikacija. Većina postavki se može mijenjati navigacijom do korisničkog sučelja aplikacije ili sustava i ručnom promjenom postavki. | Baš kao što izmjena Windows Registry-a može poremetiti sustav, tako treba biti oprezan kod izmjene plist postavki sustava ili aplikacija. Većina postavki se može mijenjati navigacijom do korisničkog sučelja aplikacije ili sustava i ručnom promjenom postavki. | ||
| - | Ažuriranje Finder-a za prikaz proširenja datoteka u OS X Terminalu: | + | Ažuriranje Finder-a za prikaz proširenja datoteka u OS X Terminalu: |
| - | < | + | < |
| + | '' | ||
| </ | </ | ||
| - | ===== Chapter 3 ===== | + | ===== Zaključak |
| - | + | ||
| - | ===== Chapter 4 ===== | + | |
| - | + | ||
| - | ===== Chapter 5 ===== | + | |
| - | + | ||
| - | ===== Chapter 6 ===== | + | |
| - | ===== Conclusion ===== | + | Appleov Mac OS operativni sustav je do sada bio poznat kao gotovo imun na bilo kakvu vrstu virusa, malware, spywarea i ostalih " |
| - | zaključak. | + | Prvi " |
| - | ===== Sources ===== | + | Transmission aplikacija za Mac OS X zaražena je takozvanim " |
| - | [1] [[http:// | + | Iz Applea za sada nisu komentirali ovu objavu, a jedini način borbe s " |
| - | [2] [[http:// | + | ===== Izvori ===== |
| - | [3] [[http:// | + | - [[http:// |
| + | - [[http:// | ||
| + | - //[[http:// | ||
| + | - [[http:// | ||
| + | - [[https:// | ||
| + | - [[http:// | ||