Slijede razlike između dviju inačica stranice.
| Starije izmjene na obje strane Starija izmjena Novija izmjena | Starija izmjena | ||
|
racfor_wiki:datoteke_i_datotecni_sustavi:napadi_na_mac_os [2020/01/09 20:58] lmedic [Leap (computer worm)] |
racfor_wiki:datoteke_i_datotecni_sustavi:napadi_na_mac_os [2024/12/05 12:24] (trenutno) |
||
|---|---|---|---|
| Redak 26: | Redak 26: | ||
| <font 14px/ | <font 14px/ | ||
| - | |||
| ===== Uvod ===== | ===== Uvod ===== | ||
| + | ===== Leap i RSPlug ===== | ||
| - | ===== Leap (computer worm) i RSPlug ===== | + | ==== Leap ==== |
| - | Oompa-Loompa malware, koji se još zove i OSX/Oomp-A ili Leap.A, je virusna aplikacija koju je 14. veljače 2006. otkrila tvrtka za zaštitu Apple-a Intego. Leap se ne može širiti Internetom i može se širiti samo po lokalnoj mreži koja je dostupna putem Bonjour protokola. Kod većine mreža to znači ograničenje na jednu IP podmrežu . | + | Oompa-Loompa malware, koji se još zove i OSX/Oomp-A ili Leap.A, je virusna aplikacija koju je 14. veljače 2006. otkrila tvrtka za zaštitu Apple-a Intego. Leap se ne može širiti Internetom i može se širiti samo po lokalnoj mreži koja je dostupna putem Bonjour protokola. Kod većine mreža to znači ograničenje na jednu IP podmrežu. |
| - | Infekcija | + | Leap se širi putem iChat programa za razmjenu instant poruka kao gzip komprimirana tar datoteka pod nazivom '' |
| + | Izvršni program je prerušen u standardnu ikonu slikovne datoteke i tvrdi da prikazuje pregled Appleovog sljedećeg OS-a. Jednom kada se pokrene, crv će pokušati zaraziti sustav. Za korisnike koji nisu administratori tražit će se lozinka računala da bi se stekla privilegija za uređivanje konfiguracije sustava. Ne inficira aplikacije na disku. Leap inficira samo Cocoa aplikacije i ne inficira aplikacije u vlasništvu sustava (uključujući one koje su unaprijed instalirane na novom računalu), već samo aplikacije u vlasništvu korisnika koji je trenutno prijavljen. Obično to znači aplikacije koje trenutni korisnik instalirao, a ne Appleov instalacijski sustav. Kada se pokrene zaražena aplikacija, Leap pokušava zaraziti četiri najkorištenije aplikacije te ukoliko te četiri ne zadovoljavaju navedene uvjete, infekcija prestaje u tom trenutku. \\ | ||
| + | Jednom aktiviran, Leap se pokušava širiti putem iChat Bonjour liste korisnika. Ne širi se putem glavne iChat liste prijatelja, niti preko XMPP. Prema zadanim postavkama, iChat ne koristi Bonjour i stoga ne može prenijeti ovog crva. Leap ne briše podatke, ne špijunira sustav niti preuzima kontrolu nad njim, ali ima jedan štetan učinak: zbog greške u samom crvu, zaražena aplikacija se neće pokrenuti. Ovo je korisno jer sprečava ljude da nastave širiti zaraženi program. | ||
| - | Leap se širi putem iChat programa za razmjenu instant poruka kao gzip- komprimirana tar datoteka pod nazivom '' | + | Uobičajena metoda zaštite od ove vrste računalnog crva je izbjegavanje pokretanja datoteka iz nepouzdanih izvora. Najmanje jedan administrativni račun mora ostati |
| - | Izvršni program je prerušen | + | |
| - | Leap inficira samo Cocoa aplikacije i ne inficira aplikacije u vlasništvu sustava (uključujući one koje su unaprijed instalirane na novom računalu), već samo aplikacije u vlasništvu korisnika koji je trenutno prijavljen. Obično to znači aplikacije koje trenutni korisnik instalirao, a ne Appleov instalacijski sustav. Kada se pokrene | + | |
| - | Jednom aktiviran, Leap se pokušava širiti putem iChat Bonjour liste korisnika. Ne širi se putem glavne iChat liste prijatelja, niti preko XMPP. (Prema zadanim postavkama, iChat ne koristi Bonjour | + | |
| - | Leap ne briše podatke, ne špijunira sustav niti preuzima kontrolu nad njim, ali ima jedan štetan učinak: zbog greške | + | |
| - | Zaštita i oporavak | + | ==== RSPlug |
| - | + | ||
| - | Uobičajena metoda zaštite od ove vrste Computer Worma je izbjegavanje pokretanja datoteka iz nepouzdanih izvora. Najmanje jedan administrativni račun mora ostati u sustavu kako bi se instalirao softver i promijenile vitalne postavke sustava, čak i ako je račun kreiran isključivo u tu svrhu. Oporavak nakon infekcije uključuje brisanje datoteka s Computer Worma i zamjenu zaraženih aplikacija svježim kopijama. Ne zahtijeva ponovnu instalaciju OS-a, budući da su aplikacije u vlasništvu sustava imune. | + | |
| - | + | ||
| - | RSPlug | + | |
| - | + | ||
| - | RSPlug trojanski konj, oblik DNSChanger-a, | + | |
| - | \\ | + | |
| - | Nekoliko varijanti RSPlug trojanca pronađeno je prije svega na pornografskim web lokacijama prerušenim u video codecs, a neke varijante uočene su na web lokacijama koje nude preuzimanja igara. Jednom kad se instalira OSX.RSPlug.A, | + | |
| - | Postoji i verzija OSX.RSPlug | + | RSPlug |
| + | Nekoliko varijanti RSPlug trojanca pronađeno | ||
| - | Izolacija | + | Postoji i verzija OSX.RSPlug Trojan koja cilja Windows platformu, a upravo je ta verzija vodila tehničkog menadžera u F- Secureu koji je sugerirao da je grupa iza Mac Trojan-a koji se mijenja DNS- a ista grupa koja stoji iza Zloba trojanskog. Međutim, Intego je napomenuo da oni koji stoje iza trojanskog konja RSPlug zaustavljaju svoje aktivnosti prije onih koji kontroliraju zlonamjerni softver Windows, te da je vjerojatno da to nisu isti ljudi. |
| Kao dio //Operacije Ghost Click//, u studenom 2009. godine FBI je srušio " | Kao dio //Operacije Ghost Click//, u studenom 2009. godine FBI je srušio " | ||
| - | MacSweeper je zlonamjerna aplikacija koja korisnike obmanjuje pretjeranim izvještajima o špijunskom softveru, adware-u ili virusima | + | ===== Ostali napadi |
| - | Problemi uzrokovani | + | ==== MacSweeper |
| - | MacSweeper bi se mogao preuzeti putem softverske web stranice KiVVi (tvrtka koja tvori " | + | |
| - | druge pornografske | + | MacSweeper je zlonamjerna aplikacija koja korisnike obmanjuje pretjeranim izvještajima o špijunskom softveru, adware-u ili virusima na njihovom računalu. To je prva poznata " |
| - | Postoji i verzija OSX.RSPlug Trojan koja cilja Windows platformu, a upravo je ta verzija vodila tehničkog menadžera u F- Secureu koji je sugerirao | + | MacSweeper bi se mogao preuzeti putem softverske web stranice KiVVi, kao " drive-by" |
| - | [3] | + | \\ |
| + | Grafičko korisničko sučelje i ponašanje MacSweepera gotovo su identični drugom programu koji objavljuje KiVVi Software, Cleanator . Cleanator je, međutim, dizajniran za Windows operativne sustave.\\ | ||
| + | Tvrtke kao što su McAfee, Symantec i Sunbelt Software prepoznale su prijetnju i na svojim web stranicama objavile upute za\\ | ||
| + | uklanjanje, Intego VirusBarrier i iAntivirus su također sposobne za ukloniti ga. SiteAdvisor testovi provode se na računalima koja ne mogu prepoznati .dmg, format datoteke MacSweeper. MacSweeper je privukao veliku pozornost medija s web stranica kao što je CNET, jer se smatra jednim od prvih slučajeva zlonamjernog softvera namijenjenog operacijskom sustavu Mac OS X. | ||
| - | softver Windows, te da je vjerojatno da to nisu isti ljudi. | + | Nakon što je F-Secure upozorio Macintosh korisnike na uljeza, MacSweeper |
| - | računalu. | + | //Želio bih objasniti svu situaciju, oko MacSweepera. Mi se stvarno trudimo napraviti dobar softver, a vi nećete pronaći bilo koji virus / špijunski softver / trojanski / zlonamjerni softver u MacSweeperu (testirajte ga sami, ako mi ne vjerujete, možete koristiti bilo koju vrstu firewall-a, dissemblera ili drugih alata). Problem je što nas partnere za prodaju prisiljavaju na upotrebu ove vrste marketinga. Željeli bismo ih napustiti, ne želimo potpuno uništiti MacSweeper aplikaciju.// |
| - | To je prva poznata „lopovska“ aplikacija | + | //Osobno obožavam Mac platformu, a boli me kad čujem da je program koji ste napisali neka vrsta "Rogue aplikacije", |
| - | Međutim, Intego je napomenuo | + | // |
| - | [1]\\ | + | //Hvala vam! support@macsweeper.com// |
| - | sustav. Softver je otkrila tvrtka F-Secure , tvrtka sa softverom za računalnu | + | ==== Mac Defender ==== |
| - | sigurnost sa sjedištem u Finskoj , 17. siječnja 2008.\\ | + | Mac Defender (poznat i kao Mac Protector, Mac Security, Mac Shield i FakeMacDef) je internetski sigurnosni program koji cilja računala koja rade na macOS-u. Tvrka Intego otkrila je lažni antivirusni softver 2. svibnja 2011. Softver je opisan kao prva velika prijetnja na Macintosh platformi (iako ne oštećuje nijedan dio OS X).\\ |
| - | Od 2009 , službeno web mjesto za aplikaciju macsweeper.com | + | Prijavljena |
| - | [3] | + | \\ |
| + | Korisnici obično nailaze na program prilikom otvaranja slike pronađene na tražilici. Pojavljuje se kao skočni prozor koji pokazuje da su virusi otkriveni na računalu korisnika i sugerira im da preuzmu program koji, ako je instaliran, pruža osobne podatke korisnika neovlaštenim trećim stranama. Program se pojavljuje u zlonamjernim vezama na tražilicama na web stranicama kao što je Google Image Search. Kad korisnik pristupi takvoj zlonamjernoj vezi, pojavljuje se lažni prozor za skeniranje, izvorno u stilu Windows XP aplikacije, ali kasnije u obliku " | ||
| - | kartici za serijski ključ doživotne pretplate za 39,99 USD ". | + | Umjesto da štiti od virusa, Mac Defender otima korisnikov internetski preglednik kako bi prikazivao web-stranice povezane\\ |
| + | sa pornografijom te kako bi se krao identitet korisnika (prosljeđivanjem i zlouporabom podataka o kreditnoj kartici). | ||
| - | Klonovi [ uredi ]\\ | + | Softver je praćen putem njemačkih web stranica, do ruskog internetskog plaćanja ChronoPay. Mac Defender |
| - | Grafičko korisničko sučelje i ponašanje MacSweerea gotovo su identični drugom programu koji objavljuje KiVVi Software, Cleanator | + | |
| - | slična SpySheriff i SpyAxe aplikacija, sramotno\\ | + | |
| - | za typosquatting Google | + | |
| - | [4] | ||
| - | |||
| - | Uklanjanje [ uredi ]\\ | ||
| - | Tvrtke uključujući McAfee , Symantec i Sunbelt Software prepoznale su prijetnju i na svojim web stranicama objavile upute za\\ | ||
| - | uklanjanje. Intego VirusBarrier i iAntivirus su sposobni ukloniti ga\\ | ||
| - | previše. SiteAdvisor , podjela McAfeeja kontroverzno je mjestu dala zelenu ocjenu. Međutim, SiteAdvisor testovi provode se na računalima koja ne mogu prepoznati .dmg , format datoteke MacSweeper.\\ | ||
| - | Pažnja medija [ uredi ]\\ | ||
| - | MacSweeper je privukao veliku pozornost medija s web stranica | ||
| - | |||
| - | pune verzije identičan je onome u SpySheriff. | ||
| - | |||
| - | uključujući CNET | ||
| - | |||
| - | [5] | ||
| - | |||
| - | i druge, | ||
| - | |||
| - | [6] | ||
| - | |||
| - | jer se smatra jednim od prvih slučajeva | ||
| - | |||
| - | zlonamjernog softvera namijenjenog operacijskom sustavu Mac OS X. | ||
| - | |||
| - | MacSweeper odgovara [ uredi ] | ||
| - | |||
| - | Nakon što je F-Secure upozorio Macintosh korisnike na skitnicu, MacSweeper je | ||
| - | |||
| - | odgovorio na web mjestu F-Secure rekavši | ||
| - | |||
| - | Želio bih objasniti svu situaciju, oko MacSweepera. | ||
| - | |||
| - | Mi se stvarno trudimo napraviti dobar softver, a vi nećete pronaći bilo koji | ||
| - | |||
| - | virus / špijunski softver / trojanski / zlonamjerni softver u MacSweeperu | ||
| - | |||
| - | (testirajte ga sami, ako mi ne vjerujete, možete koristiti bilo koju vrstu firewall-a, | ||
| - | |||
| - | dissemblera ili drugo alata). | ||
| - | |||
| - | Problem je što koristimo prodajne partnere koji nas prisiljavaju na upotrebu ove | ||
| - | |||
| - | vrste marketinga. Željeli bismo ih napustiti, ne želimo potpuno uništiti Good | ||
| - | |||
| - | Name MacSweeper aplikaciju. | ||
| - | |||
| - | Osobno obožavam Mac platformu, a boli me kad čujem da je program koji ste | ||
| - | |||
| - | napisali neka vrsta "Rogue aplikacije", | ||
| - | |||
| - | napisanog za to: (( | ||
| - | |||
| - | Želio bih vam ispričati sve neugodnosti koje bismo vam mogli pružiti, ali vjerujte | ||
| - | |||
| - | da je MacSweeper korisna aplikacija. Možete postaviti pitanja, a ja ću pokušati | ||
| - | |||
| - | odgovoriti na njih! | ||
| - | |||
| - | Hvala vam! support@macsweeper.com | ||
| - | |||
| - | [7] | ||
| - | |||
| - | Mac Defender (poznat i kao Mac Protector , Mac Security , | ||
| - | |||
| - | [1] | ||
| - | |||
| - | Mac | ||
| - | |||
| - | [2] | ||
| - | |||
| - | [3] | ||
| - | |||
| - | [4] | ||
| - | |||
| - | Mac Shield , Apple nije dala do 31. svibnja. | ||
| - | |||
| - | je internetski sigurnosni Softver je opisan kao prva velika prijetnja | ||
| - | |||
| - | Guard ,\\ | ||
| - | program koji cilja računala koja rade na macOS-u . Mac-ova zaštitna tvrtka Intego otkrila je lažni antivirusni softver 2. svibnja 2011., a zakrpa je | ||
| - | |||
| - | i FakeMacDef ) | ||
| - | |||
| - | [5] | ||
| - | |||
| - | od zlonamjernog softvera na Macintosh platformi (iako ne pridružuje niti [6][7] [8] [9] [10] [11] | ||
| - | |||
| - | oštećuje nijedan dio OS X). Međutim, to nije prvi trojanski specifičan za Mac i ne širi se samo.\\ | ||
| - | Prijavljena je varijanta programa poznata kao Mac Guard koja ne zahtijeva da | ||
| - | |||
| - | korisnik unese lozinku za instaliranje programa [12], iako instalacijski program | ||
| - | |||
| - | [13] | ||
| - | |||
| - | Simptomi\\ | ||
| - | Korisnici obično nailaze na program prilikom otvaranja slike pronađene na tražilici. Pojavljuje se kao skočni prozor koji pokazuje da su virusi otkriveni na računalu korisnika i sugerira im da preuzmu program koji, ako je instaliran, pruža osobne podatke korisnika neovlaštenim trećim stranama.\\ | ||
| - | Program se pojavljuje u zlonamjernim vezama koje se trovanjem optimiziraju | ||
| - | |||
| - | [14] | ||
| - | |||
| - | i dalje mora pokretati. | ||
| - | |||
| - | tražilice na web lokacijama kao što su Google Image Search .\\ | ||
| - | pristupi takvoj zlonamjernoj vezi, pojavljuje se lažni prozor za skeniranje, | ||
| - | |||
| - | [14] | ||
| - | |||
| - | izvorno u stilu Windows XP aplikacije, [15] | ||
| - | |||
| - | ali kasnije u obliku " | ||
| - | |||
| - | [14] | ||
| - | |||
| - | Korisniku se zatim traži da preuzme datoteku na kojoj je instaliran | ||
| - | |||
| - | sustava.\\ | ||
| - | Mac Defender i od njega se traži da plati 59,95 do 79,95 dolara za licencu za | ||
| - | |||
| - | [14] [14] | ||
| - | |||
| - | Umjesto da štiti od virusa, Mac Defender otima korisnikov | ||
| - | |||
| - | softver.\\ | ||
| - | internetski preglednik kako bi prikazivao web-lokacije povezane\\ | ||
| - | sa pornografijom , a korisniku također otkriva krađu identiteta (prosljeđivanjem | ||
| - | |||
| - | [17] | ||
| - | |||
| - | Softver je praćen putem zatvorenih njemačkih web stranica, do ruskog internetskog plaćanja ChronoPay . Mac Defender je do ChronoPay-a praćen putem adrese e-pošte financijskog kontrolera ChronoPay Alexandra | ||
| - | |||
| - | [19] | ||
| - | |||
| - | datoteka tražili da plate kaznu. | ||
| - | |||
| - | Appleov odgovor | ||
| - | |||
| - | Prema Sophosu, do 24. svibnja 2011. bilo je šezdeset tisuća poziva tehničkoj | ||
| - | |||
| - | podršci AppleCare o pitanjima vezanim uz Mac Defender [22], a Ed Bott\\ | ||
| - | iz ZDNet-a izvijestio je da je broj poziva AppleCareu povećan u količini zbog Mac Defendera i da se većina tadašnjih poziva odnosi na Mac | ||
| - | |||
| - | [14] [16] | ||
| - | |||
| - | podataka s kreditne kartice kranji). Novija varijanta instalira se bez | ||
| - | |||
| - | potrebe za korisnikom da unese lozinku.\\ | ||
| - | da aktivno klikne preko instalatora za dovršavanje instalacije čak i ako lozinka | ||
| - | |||
| - | [18] | ||
| - | |||
| - | Podrijetlo | ||
| - | |||
| - | nije potrebna. | ||
| - | |||
| - | Volkova.\\ | ||
| defence.com i macbookprotection.com, | defence.com i macbookprotection.com, | ||
| - | [20] [21] | + | Prema Sophosu, do 24. svibnja 2011. bilo je šezdeset tisuća poziva tehničkoj podršci AppleCare o pitanjima vezanim uz Mac Defender, a Ed Bott iz ZDNet-a izvijestio je da je broj poziva AppleCareu povećan zbog Mac Defendera i da se većina tadašnjih poziva odnosi na Mac Defender. AppleCareovim zaposlenicima rečeno je da ne pomažu pozivateljima u uklanjanju softvera. Rečeno im je da ne upućuju pozivatelje kako da koriste Force Quit i Monitor Monitor kako bi zaustavili Mac Defender, kao i da ne usmjeravaju pozivatelje u bilo kakve antivirusne programe. |
| - | Defender. | + | Apple je izdao upute o sprječavanju i uklanjanju zlonamjernog softvera. Mac OS X sigurnosno ažuriranje 2011-003 objavljeno je 31. svibnja 2011. i uključuje ne samo automatsko uklanjanje trojana i drugih sigurnosnih ažuriranja, |
| - | [23] | + | ==== Flashback ==== |
| - | AppleCareovim zaposlenicima rečeno | + | OSX.FlashBack, |
| - | Adresa e-pošte pojavila | + | Prema ruskoj antivirusnoj tvrtki Dr. Web , modificirana verzija varijante " |
| - | Sve inačice zahtijevaju od korisnika | + | \\ |
| + | U originalnoj varijanti upotrijebljen je lažni instalacijski program Adobe Flash Player za instaliranje zlonamjernog softvera, otuda i naziv " | ||
| - | Kad korisnik | + | Oracle , tvrtka koja razvija Java, riješila je ranjivost iskorištenu za instaliranje Flashback-a 14. veljače 2012. Međutim, Apple održava Mac OS X verziju Jave i nije objavio ažuriranje koje sadrži ispravku do 3. travnja 2012., nakon što je kvar već iskorišten za instaliranje Flashback-a na 600.000 Mac-ova. Ažurirano Java izdanje dostupno je samo za Mac OS X Lion i Mac OS X Snow Leopard; izdan je uslužni program za uklanjanje za Intelove verzije Mac OS X Leopardapored dva novija operativna sustava. Korisnicima starijih operativnih sustava savjetovano je da onemoguće |
| - | godine. | + | ==== Keydnap ==== |
| - | u Kaliforniji | + | OSX.Keydnap je MacOS X temelji trojanski konj koji krade lozinke od iCloud Keychain. Koristi kapaljku za uspostavljanje stalnog stražnjeg prostora za vrijeme korištenja MacOS-ovih ranjivosti i sigurnosnih značajki kao što su Gatekeeper, iCloud Keychain i sustav imenovanja datoteka. Prvi su ga put otkrili početkom srpnja 2016. istraživači ESET-a, koji su i otkrili da se distribuira putem kompromitirane verzije Torrent klijenta za prijenos |
| - | Otkriće | + | OSX.Keydnap se u početku preuzima u obliku Zip arhive. Ova arhiva sadrži jednu Mach-O datoteku i Resource fork koja sadrži ikonu za izvršnu datoteku, koja je obično JPEG ili slika tekstualne datoteke. Dodatno, kapaljka koristi prednost načina na koji OS X rukuje s datotekama dodavanjem razmaka iza proširenja naziva datoteke, na primjer - kao " |
| - | [24] | + | Ovo početno izvršenje čini tri stvari. Prvo, preuzima i izvršava stražnju komponentu. Drugo, preuzima i otvara dokument s ukrašenim listovima da bi se podudarao s onim što se datoteka dropper pretvara. Konačno, napušta Terminal kako bi se prikrio da je ikada otvoren. Terminal se otvara samo na trenutak.\\ |
| - | + | Budući da preuzimatelj | |
| - | pozivaocima u uklanjanju softvera.\\ | + | |
| - | rečeno je da ne upućuju pozivatelje kako da koriste Force Quit i Monitor Monitor kako bi zaustavili Mac Defender, kao i da ne usmjeravaju pozivatelje u bilo kakve | + | |
| - | + | ||
| - | [22] | + | |
| - | + | ||
| - | antivirusne programe.\\ | + | |
| - | Djelatnicima AppleCarea rečeno je da ne pomažu pozivaocima u uklanjanju | + | |
| - | + | ||
| - | [25] | + | |
| - | + | ||
| - | Konkretno, službenicima za podršku | + | |
| - | + | ||
| - | rasprave koje se tiču problema koje uzrokuje Mac Defender.\\ | + | |
| - | zaposlenik službe za podršku AppleCare rekao je da je Apple pokrenuo politiku kako bi spriječio korisnike da se oslanjaju na tehničku podršku umjesto na | + | |
| - | + | ||
| - | [24] | + | |
| - | + | ||
| - | softvera, ali Apple je kasnije obećao softversku zakrpu. | + | |
| - | + | ||
| - | Apple je izdao upute o sprječavanju i uklanjanju zlonamjernog softvera.\\ | + | |
| - | OS X sigurnosno ažuriranje 2011-003 objavljeno je 31. svibnja 2011. i uključuje ne samo automatsko uklanjanje trojana i drugih sigurnosnih ažuriranja, | + | |
| - | + | ||
| - | [1] | + | |
| - | + | ||
| - | [1] | + | |
| - | + | ||
| - | [2] [3]\\ | + | |
| - | konj koji utječu na osobnim računalima sa sustavom Mac OS X . Prvu | + | |
| - | + | ||
| - | varijantu Flashback-a otkrila je antivirusna tvrtka Intego u rujnu 2011. | + | |
| - | + | ||
| - | [4] | + | |
| - | + | ||
| - | Infekcija | + | |
| - | + | ||
| - | Prema ruskoj antivirusnoj tvrtki Dr. Web , modificirana verzija varijante " | + | |
| - | + | ||
| - | [5] [6] | + | |
| - | + | ||
| - | [8]\\ | + | |
| - | 2012. 56,6% zaraženih računala locirano u Sjedinjenim Državama , 19,8% | + | |
| - | + | ||
| - | softvera . | + | |
| - | + | ||
| - | OSX.FlashBack\\ | + | |
| - | kao Flashback Trojan, Fakeflash ili trojanski BackDoor.Flashback je trojanski | + | |
| - | + | ||
| - | , također poznat | + | |
| - | + | ||
| - | [7]\\ | + | |
| - | otkrila tvrtka F-Secure u sjedištu tvrtke za računalno osiguranje sa sjedištem u | + | |
| - | + | ||
| - | osiguranje, Kaspersky Lab . | + | |
| - | + | ||
| - | Ovu je varijantu zlonamjernog softvera prvi put | + | |
| - | + | ||
| - | Finskoj, u travnju 2012 | + | |
| - | + | ||
| - | [9] [10] | + | |
| - | + | ||
| - | Dr. Web procjenjuje da je početkom travnja | + | |
| - | + | ||
| - | . | + | |
| - | + | ||
| - | [6]\\ | + | |
| - | U originalnoj varijanti upotrijebljen je lažni instalacijski program Adobe Flash | + | |
| - | + | ||
| - | u Kanadi , 12,8% u Velikoj Britaniji i 6,1% u Australiji . Pojedinosti | + | |
| - | + | ||
| - | [4] | + | |
| - | + | ||
| - | Međutim, trojanac bi zarazio samo korisnika koji | + | |
| - | + | ||
| - | Player za instaliranje zlonamjernog softvera, otuda i naziv " | + | |
| - | Kasnija varijanta usmjerena je na ranjivost Jave na Mac OS X. Sustav se zarazio nakon što je korisnik preusmjeren na kompromitirano lažno mjesto, gdje\\ | + | |
| - | je JavaScript kod uzrokovao da se applet sadrži eksploata za učitavanje. Izvršna datoteka spremljena je na lokalnom stroju, koji je korišten za preuzimanje i pokretanje zlonamjernog koda s udaljene lokacije. Zlonamjerni softver se također prebacivao između različitih poslužitelja radi optimiziranog uravnoteženja opterećenja. Svaki je bot dobio jedinstveni ID koji je poslan na | + | |
| - | + | ||
| - | [6] | + | |
| - | + | ||
| - | kontrolni poslužitelj. | + | |
| - | + | ||
| - | posjećuje zaraženu web stranicu, što znači da drugi korisnici na računalu nisu | + | |
| - | + | ||
| - | bili zaraženi, osim ako njihovi korisnički računi nisu bili zaraženi zasebno. | + | |
| - | + | ||
| - | [11] | + | |
| - | + | ||
| - | Anonimni | + | |
| - | + | ||
| - | 24. svibnja 2011. | + | |
| - | + | ||
| - | [26] | + | |
| - | + | ||
| - | Mac | + | |
| - | + | ||
| - | Rezolucija | + | |
| - | + | ||
| - | Oracle , tvrtka koja razvija Java, riješila je ranjivost iskorištenu za instaliranje | + | |
| - | + | ||
| - | [8] | + | |
| - | + | ||
| - | Flashback-a 14. veljače 2012. | + | |
| - | + | ||
| - | Javu. | + | |
| - | + | ||
| - | Međutim, Apple održava Mac OS X verziju | + | |
| - | + | ||
| - | [12] | + | |
| - | + | ||
| - | Dana 12. travnja 2015. tvrtka je izdala daljnje ažuriranje za uklanjanje | + | |
| - | + | ||
| - | [14] | + | |
| - | + | ||
| - | Postoje i neki programi treće strane za otkrivanje i uklanjanje | + | |
| - | + | ||
| - | [13] | + | |
| - | + | ||
| - | Java i nije objavio ažuriranje koje sadrži ispravku do 3. travnja 2012, nakon što je kvar već iskorišten za instaliranje Flashback-a na 600.000 Mac- | + | |
| - | + | ||
| - | [13] | + | |
| - | + | ||
| - | a. | + | |
| - | + | ||
| - | najčešćih Flashback inačica.\\ | + | |
| - | za Mac OS X Lion i Mac OS X Snow Leopard ; izdan je uslužni program za uklanjanje za Intelove verzije Mac OS X Leopardapored dva novija operativna sustava. Korisnicima starijih operativnih sustava savjetovano je da onemoguće | + | |
| - | + | ||
| - | [12] | + | |
| - | + | ||
| - | Ažurirano Java izdanje dostupno je samo | + | |
| - | + | ||
| - | Apple je radio na novom procesu koji bi na | + | |
| - | + | ||
| - | Flashback trojanskog softvera.\\ | + | |
| - | kraju doveo do puštanja Java Runtime Environment-a (JRE) za Mac OS X u isto | + | |
| - | + | ||
| - | vrijeme kada bi bio dostupan za korisnike Windows, Linuxa i Solarisa. siječnja 2014. oko 22.000 Mac-a još je bilo zaraženo Flashback trojancem. | + | |
| - | + | ||
| - | [16] OSX.Keydnap je MacOS X temelji trojanski konj koji krade lozinke od iCloud | + | |
| - | + | ||
| - | Keychain [1] na zaraženo računalo. Koristi kapaljku za uspostavljanje stalnog stražnjeg prostora za vrijeme korištenja MacOS-ovih ranjivosti i sigurnosnih značajki kao što su Gatekeeper , iCloud Keychain i sustav imenovanja\\ | + | |
| - | datoteka. Prvi su ga put otkrili početkom srpnja 2016. istraživači ESET-a, koji su i otkrili da se distribuira putem kompromitirane verzije Torrent klijenta za | + | |
| - | + | ||
| - | [2] | + | |
| - | + | ||
| - | Preuzimanje i instalacija | + | |
| - | + | ||
| - | OSX.Keydnap se u početku preuzima u obliku Zip arhive . Ova arhiva sadrži jednu Mach-O datoteku i viljušku Resource koja sadrži ikonu za izvršnu datoteku, koja je obično JPEG ili slika tekstualne datoteke. Dodatno, kapaljka koristi prednost načina na koji OS X rukuje s datotekama dodavanjem razmaka iza proširenja naziva datoteke, na primjer - kao " | + | |
| - | + | ||
| - | Ovo početno izvršenje čini tri stvari. Prvo, preuzima i izvršava stražnju komponentu. Drugo, preuzima i otvara dokument s ukrašenim listovima da bi se podudarao s onim što se datoteka dropper pretvara. Konačno, napušta Terminal kako bi se prikrio da je ikada otvoren. Terminal se otvara samo na trenutak. | + | |
| - | Budući da preuzimač | + | |
| - | pokretanja. Proces icloudsyncd koristi se za komunikaciju s naredbom i | + | |
| - | + | ||
| - | poslužiteljem za upravljanje putem onion.to adrese, uspostavljajući stražnju | + | |
| - | + | ||
| - | prijenos. | + | |
| - | + | ||
| - | vrata. | + | |
| - | + | ||
| - | [3] | + | |
| - | + | ||
| - | [15] | + | |
| - | + | ||
| - | Od 9. | + | |
| - | + | ||
| - | Zatim pokušava uhvatiti lozinke iz iCloud Keychain, pomoću provjere | + | |
| - | + | ||
| - | [4] | + | |
| - | + | ||
| - | „Analizi Keychaina s Mac OS X Forensics Memory“ K. Lee i H. Koo. | + | |
| - | + | ||
| - | Gatekeeper potpisuje zaobilazno rješenje | + | |
| Mac OS koristi Gatekeeper za provjeru je li aplikacija potpisana s važećim certifikatom Apple Developer ID koji sprečava pokretanje\\ | Mac OS koristi Gatekeeper za provjeru je li aplikacija potpisana s važećim certifikatom Apple Developer ID koji sprečava pokretanje\\ | ||
| - | OSX.Keydnap. Nadalje, čak i ako korisnik ima Gatekeeper isključen, | + | OSX.Keydnap. Nadalje, čak i ako korisnik ima Gatekeeper isključen, |
| - | [2] [3] | + | Aktiviranje Gatekera jednostavan je način za sprječavanje slučajne instalacije OSX.Keydnap. Ako je Mac korisniku aktiviran Gatekeeper, zlonamjerna datoteka neće se izvršiti i korisniku će se prikazati upozorenje. To je zato što je zlonamjerna Mach-O datoteka nepodpisana, |
| - | Otkrivanje i uklanjanje | + | ==== KeRanger ==== |
| - | Aktiviranje Gatekera jednostavan je način za sprječavanje slučajne instalacije | + | KeRanger (poznat i kao OSX.KeRanger.A ) je ransomware trojanski konj koji cilja računala na kojima sa Mac OS-om. Otkrivio ga je Palo Alto Networks 4. ožujka 2016., a utjecao je na više od 7000 Mac korisnika.\\ |
| + | KeRanger | ||
| - | [3] | + | Dana 4. ožujka 2016., Palo Alto Networks dodao je Ransomeware.KeRanger.OSX svojoj bazi podataka o virusima. Dva dana nakon toga objavili su opis i kod. Jedini način na koji je zlonamjerni softver inficirao računalo žrtve bio je pomoću važećeg potpisa programera koji je izdao Apple, što mu je omogućilo zaobići Appleovu ugrađenu sigurnost. |
| - | Ransomware je vrsta zlonamjernog softvera iz kriptovirologije koji prijeti da će objaviti podatke žrtve ili neprestano blokirati pristup istim, osim ako se\\ | + | KeRanger šifrira svaku datoteku (tj. Test.docx) tako što prvo kreira šifriranu verziju koja koristi .enkriptirano proširenje (tj. Test.docx.encrypted.) Za šifriranje svake datoteke, KeRanger započinje generiranjem slučajnog broja (RN) i šifrira |
| - | ne otkupi | + | |
| - | [1] [2] [3] [4] | + | Nakon povezivanja s C2 poslužiteljem, |
| - | automatski između računala bez interakcije korisnika.\\ | + | |
| - | Počevši od otprilike 2012. godine upotreba prijevara za otkupninu postala je u | + | * Slike: .jpg, .jpeg |
| - | + | * Audio i video: .mp3, .mp4, .avi, .mpg, .wav, .flac | |
| - | Keychaindump-a, | + | * Arhiva: .zip, .rar., .Tar, .gzip |
| - | memoriju i traži ključ za dešifriranje korisničkog ključeva kao što je opisano u | + | * Izvorni kod: .cpp, .asp, .csh, .class, .java, .lua |
| - | + | * Baza podataka: .db, .sql | |
| - | [5] | + | * E-adresa: .eml |
| - | + | * Certifikat: .pem | |
| - | zaobilazi zaštitu Gatekera. | + | |
| - | + | ||
| - | u programu Gatekeeper. | + | |
| - | + | ||
| - | [6] [7] [8] | + | |
| - | + | ||
| - | Bilo je 181,5 milijuna napada ransomwarea u prvih šest mjeseci | + | |
| - | + | ||
| - | i vraća ih na poslužitelj. Keychaindump čita sigurnosnu | + | |
| - | + | ||
| - | ih nedostupnim i zahtijeva plaćanje otkupnine za dešifrirajte ih.\\ | + | |
| - | pravilno izvedenom kriptovalutalnom napadu iznuđivanja, | + | |
| - | Napadi Ransomwarea obično se izvode pomoću Trojanca koji je prerušen u zakonitu datoteku koju korisnik natera da preuzme ili otvori kad stigne kao privitak e-pošti. Međutim, jedan odvažni primjer, " crv WannaCry ", putovao je | + | |
| - | + | ||
| - | [5] | + | |
| - | + | ||
| - | [9] | + | |
| - | + | ||
| - | [11] | + | |
| - | + | ||
| - | svijetu.\\ | + | |
| - | 2018. To predstavlja porast od 229% u odnosu na isti vremenski okvir u | + | |
| - | + | ||
| - | U lipnju 2014., prodavač McAfee objavio je podatke koji pokazuju da | + | |
| - | + | ||
| - | 2017.\\ | + | |
| - | prikupio je više nego dvostruko više uzoraka ransomwarea tog tromjesečja | + | |
| - | + | ||
| - | nego u istom tromjesečju prethodne godine.\\ | + | |
| - | uspješan, nabavljajući procijenjene tri milijuna američkih dolara prije nego što | + | |
| - | + | ||
| - | [10] | + | |
| - | + | ||
| - | CryptoLocker je bio posebno a CryptoWall je procijenio Federalni istražni ured.(FBI) | + | |
| - | + | ||
| - | su ga vlasti srušile ,\\ | + | |
| - | je do lipnja 2015. prikupio preko 18 milijuna američkih dolara. | + | |
| - | + | ||
| - | [12] KeRanger (poznat i kao OSX.KeRanger.A ) je ransomware trojanski konj | + | |
| - | + | ||
| - | U | + | |
| - | + | ||
| - | koji cilja računala na kojima se radi macOS . Otkriveno Palo Alto Networks 4. ožujka 2016., utjecalo je na više od 7000 Mac korisnika.\\ | + | |
| - | KeRanger se na računalu žrtve izvršava na daljinu od kompromitiranog instalatora za Transmission , popularnog BitTorrent klijenta, preuzeto sa službene web stranice. Sakriven je u .dmg datoteci pod General.rtf. .Rtf je zapravo izvršna datoteka formata Mach-O upakirana s UPX 3,91. Kada korisnici kliknu ove zaražene aplikacije, njihov paket za izvršavanje skupa Transmission.app/ | + | |
| - | + | ||
| - | [1] | + | |
| - | + | ||
| - | Dana 4. ožujka 2016., Palo Alto Networks dodao je Ransomeware.KeRanger.OSX svojoj bazu podataka o virusima. Dva dana nakon toga objavili su opis i proboj koda. | + | |
| - | + | ||
| - | Širenje | + | |
| - | + | ||
| - | Prema istraživačkom centru Palo Alto , KeRanger je najčešće bio zaražen\\ | + | |
| - | u Transmisiji s službene web stranice koja je ugrožena, zatim je\\ | + | |
| - | zaraženo .dmg preneseno da bi izgledalo kao " | + | |
| - | + | ||
| - | Jedini način na koji je zlonamjerni softver inficirao računalo žrtve bio je pomoću važećeg potpisa programera koji je izdao Apple, što mu je omogućilo zaobići Appleovu ugrađenu sigurnost. | + | |
| - | + | ||
| - | KeRanger šifrira svaku datoteku (tj. Test.docx) tako što prvo kreira šifriranu verziju koja koristi .enkriptirano proširenje (tj. Test.docx.encrypted.) Za šifriranje svake datoteke, KeRanger započinje generiranjem slučajnog broja (RN) i šifrira RN s RSA ključem dohvaćenom s C2 poslužitelja pomoću RSA algoritma. Potom pohranjuje šifrirani RN na početak rezultirajuće | + | |
| - | + | ||
| - | datoteke. Zatim će generirati vektor inicijalizacije (IV) koristeći originalni sadržaj datoteke i pohraniti IV unutar rezultirajuće datoteke. Nakon toga miješat će RN i IV kako bi se generirao AES ključ za šifriranje. Na kraju, pomoću ove AES tipke za šifriranje sadržaja izvorne datoteke i upisivanje svih šifriranih podataka u rezultirajuću datoteku. | + | |
| - | + | ||
| - | Šifrirane datoteke | + | |
| - | + | ||
| - | Nakon povezivanja s C2 poslužiteljem, | + | |
| - | + | ||
| - | pojavljivanja bilo kojeg korisničkog sučelja.\\ | + | |
| - | javnog ključa RSA i RSA, s ključem za dešifriranje pohranjenim samo na napadačevim poslužiteljima. Zlonamjeran softver stvara datoteku pod nazivom " | + | |
| - | jednog bitcoina . Ransomware se smatra varijantom Linux-ovog | + | |
| - | + | ||
| - | [2] | + | |
| - | + | ||
| - | ransomwarea Linux.Encoder.1 . | + | |
| - | + | ||
| - | Šifrira datoteke kriptografijom | + | |
| - | + | ||
| - | | + | |
| - | + | ||
| - | ● | + | |
| - | + | ||
| - | * | + | |
| - | + | ||
| - | ● | + | |
| - | + | ||
| - | * | + | |
| - | + | ||
| - | ● | + | |
| - | + | ||
| - | * | + | |
| - | + | ||
| - | ● | + | |
| - | + | ||
| - | * | + | |
| - | + | ||
| - | ● | + | |
| - | + | ||
| - | * | + | |
| - | + | ||
| - | ● | + | |
| - | + | ||
| - | * | + | |
| - | + | ||
| - | ● | + | |
| - | + | ||
| - | * | + | |
| - | + | ||
| - | ● | + | |
| Redak 577: | Redak 139: | ||
| Windows Registry je hijerarhijska baza podataka koja pohranjuje postavke konfiguracije u operacijskim sustavima Microsoft Windows. Sadrži postavke za komponente operativnog sustava i za programe koji rade na platformi. Kod Mac OS ne postoji Mac Registry kao kod Windows operacijskih sustava, ali ako je Windows Registry mjesto na kojem se pohranjuju postavke sustava i aplikacija, tada bi Mac ekvivalent Windows Registry bio niz .plist datoteka u nekoliko mapa na Mac-u. | Windows Registry je hijerarhijska baza podataka koja pohranjuje postavke konfiguracije u operacijskim sustavima Microsoft Windows. Sadrži postavke za komponente operativnog sustava i za programe koji rade na platformi. Kod Mac OS ne postoji Mac Registry kao kod Windows operacijskih sustava, ali ako je Windows Registry mjesto na kojem se pohranjuju postavke sustava i aplikacija, tada bi Mac ekvivalent Windows Registry bio niz .plist datoteka u nekoliko mapa na Mac-u. | ||
| - | .plist datoteka je konfiguracijska datoteka koja sadrži popis nekretnina u običnog teksta ili binarnom formatu. | + | Postoje dvije lokacije na kojima se nalaze zajedničke .plist datoteke sustava i aplikacija. Prva je specifična za korisnika i nalazi se na sljedećem mjestu: |
| + | |||
| + | < | ||
| + | ''/ | ||
| '' | '' | ||
| </ | </ | ||
| Redak 583: | Redak 148: | ||
| Druga lokacija se nalazi u korijenu sustava: | Druga lokacija se nalazi u korijenu sustava: | ||
| - | < | + | < |
| + | ''/ | ||
| </ | </ | ||
| U ovim mapama može se uočiti velik broj datoteka s popisima koji slijede obrnutu konvenciju o nazivu domene (npr. com.apple.sample). Pojedini primjeri plist datoteka za konfiguraciju sustava izgledaju ovako: | U ovim mapama može se uočiti velik broj datoteka s popisima koji slijede obrnutu konvenciju o nazivu domene (npr. com.apple.sample). Pojedini primjeri plist datoteka za konfiguraciju sustava izgledaju ovako: | ||
| - | < | + | < |
| + | '' | ||
| com.apple.AddressBook.plist | com.apple.AddressBook.plist | ||
| com.apple.finder.plist | com.apple.finder.plist | ||
| Redak 598: | Redak 165: | ||
| U istoj mapi nalaze se plist datoteke povezane s instaliranim aplikacijama u sustavu. | U istoj mapi nalaze se plist datoteke povezane s instaliranim aplikacijama u sustavu. | ||
| - | < | + | < |
| + | '' | ||
| com.google.Chrome.plist | com.google.Chrome.plist | ||
| org.herf.Flux.plist | org.herf.Flux.plist | ||
| Redak 606: | Redak 174: | ||
| Ukoliko se konfiguracijske plist datoteke sustava i aplikacija otvore u programu za uređivanje teksta (Notepad, Text Editor), primjetit ćemo da su mnoge od njih u binarnom formatu što je izazov za čitanje i razumijevanje, | Ukoliko se konfiguracijske plist datoteke sustava i aplikacija otvore u programu za uređivanje teksta (Notepad, Text Editor), primjetit ćemo da su mnoge od njih u binarnom formatu što je izazov za čitanje i razumijevanje, | ||
| - | < | + | < |
| + | '' | ||
| </ | </ | ||
| Primjer naredbe za čitanje svih ekstenzija: | Primjer naredbe za čitanje svih ekstenzija: | ||
| - | < | + | < |
| + | '' | ||
| </ | </ | ||
| Baš kao što izmjena Windows Registry-a može poremetiti sustav, tako treba biti oprezan kod izmjene plist postavki sustava ili aplikacija. Većina postavki se može mijenjati navigacijom do korisničkog sučelja aplikacije ili sustava i ručnom promjenom postavki. | Baš kao što izmjena Windows Registry-a može poremetiti sustav, tako treba biti oprezan kod izmjene plist postavki sustava ili aplikacija. Većina postavki se može mijenjati navigacijom do korisničkog sučelja aplikacije ili sustava i ručnom promjenom postavki. | ||
| - | Ažuriranje Finder-a za prikaz proširenja datoteka u OS X Terminalu: | + | Ažuriranje Finder-a za prikaz proširenja datoteka u OS X Terminalu: |
| - | < | + | < |
| + | '' | ||
| </ | </ | ||
| - | ===== Chapter 3 ===== | + | ===== Zaključak |
| - | + | ||
| - | ===== Chapter 4 ===== | + | |
| - | + | ||
| - | ===== Chapter 5 ===== | + | |
| - | + | ||
| - | ===== Chapter 6 ===== | + | |
| - | ===== Conclusion ===== | + | Appleov Mac OS operativni sustav je do sada bio poznat kao gotovo imun na bilo kakvu vrstu virusa, malware, spywarea i ostalih " |
| - | zaključak. | + | Prvi " |
| - | ===== Sources ===== | + | Transmission aplikacija za Mac OS X zaražena je takozvanim " |
| - | [1] [[http:// | + | Iz Applea za sada nisu komentirali ovu objavu, a jedini način borbe s " |
| - | [2] [[http:// | + | ===== Izvori ===== |
| - | [3] [[http:// | + | - [[http:// |
| + | - [[http:// | ||
| + | - //[[http:// | ||
| + | - [[http:// | ||
| + | - [[https:// | ||
| + | - [[http:// | ||