Analyse von: Christopher Daniel So   
 

Backdoor:MacOS/Longage.A (Microsoft), OSX.MaControl (Symantec), Backdoor.OSX.MaControl.b (Kaspersky)

 Plattform:

Mac OS X

 Risikobewertung (gesamt):
 Schadenspotenzial::
 Verteilungspotenzial::
 reportedInfection:
Niedrig
Mittel
Hoch
Kritisch

  • Malware-Typ:
    Backdoor

  • Zerstrerisch?:
    Nein

  • Verschlsselt?:
    Nein

  • In the wild::
    Ja

  ?berblick

Infektionsweg: Fallen gelassen von anderer Malware, Aus dem Internet heruntergeladen

Um einen ?berblick über das Verhalten dieser Backdoor zu erhalten, verwenden Sie das unten gezeigte Bedrohungsdiagramm.

Führt bestimmte Befehle aus, die sie extern von einem b?swilligen Benutzer erh?lt. Dadurch sind der betroffene Computer und auf ihm gespeicherte Daten st?rker gef?hrdet.

  Technische Details

Verwendete Ports: TCP port 8000 (iRDMI)
Dateigr??e: 100,376 bytes
Dateityp: Mach-O
Speicherresiden: Ja
Erste Muster erhalten am: 30 Juni 2012
Schadteil: Drops files, Compromises system security

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

  • /Library/launched

Autostart-Technik

Schleust die folgenden Dateien ein:

  • /Users/{user name}/Library/LaunchAgents/com.apple.FolderActionsxl.plist

Backdoor-Routine

Führt die folgenden Befehle eines externen, b?swilligen Benutzers aus:

  • Delete a file
  • Download and execute a file from the C&C server
  • Enumerate files
  • Enumerate processes
  • Execute a file
  • Uninstall itself
  • Send a file to the C&C server
  • Send OS Version, user name, computer name
  • Start a remote /bin/sh
  • Terminate itself
  • Terminate a process
  • Delete /Users/{user name}/Library/LaunchAgents/com.apple.FolderActionsxl.plist
  • Delete /Library/launched

  L?sungen

Mindestversion der Scan Engine: 9.200
Erste VSAPI Pattern-Datei: 9.232.05
Erste VSAPI Pattern ver?ffentlicht am: 03 Juli 2012
VSAPI OPR Pattern-Version: 9.233.00
VSAPI OPR Pattern ver?ffentlicht am: 04 Juli 2012

Step 1

Diese Datei suchen und l?schen

[ learnMore ]
M?glicherweise sind einige Komponentendateien verborgen. Aktivieren Sie unbedingt das Kontrollk?stchen Versteckte Elemente durchsuchen unter Weitere erweiterte Optionen, um alle verborgenen Dateien und Ordner in den Suchergebnissen zu berücksichtigen.
  • /Users/{user name}/Library/LaunchAgents/com.apple.FolderActionsxl.plist

Step 2

Durchsuchen Sie Ihren Computer mit Ihrem live casino online Produkt, und l?schen Sie Dateien, die als OSX_MACKONTROL.A entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem live casino online Produkt ges?ubert, gel?scht oder in Quarant?ne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarant?ne k?nnen einfach gel?scht werden. Auf dieser finden Sie weitere Informationen.


Nehmen Sie an unserer Umfrage teil