OSX_OLYX.EVL
Backdoor:MacOS_X/Olyx.B (Microsoft)
Mac OS X
マルウェアタイプ:
バックドア型
破壊活动の有无:
なし
暗号化:
なし
感染報告の有無 :
はい
? 概要
マルウェアは、亲チベット派の主张を题材として利用したメールによるキャンペーン活动として、コンピュータに侵入します。マルウェアは、ユーザの兴味をひきつける件名や本文を利用し、ユーザにメールの开封を促します。メールが开封されると、感染コンピュータ上でマルウェアのダウンロードと実行が行われます。
マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。
マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。
詳細
侵入方法
マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。
- JAVA_RHINO.AE
バックドア活动
マルウェアは、不正リモートユーザからの以下のコマンドを実行します。
- Create or delete folders
- Downlad and execute file
- List drives and files
- Manipulate files
- Open an instance of bash shell where a remote malicious user may execute commands
- Search folders
- Upload files to its server
マルウェアは、以下の奥别产サイトにアクセスし、情报を送受信します。
- avira.{BLOCKED}t.com
その他
マルウェアが実行するコマンドは、以下のとおりです。
- フォルダの作成または削除
- ファイルのダウンロードおよび実行
- ドライブ名とファイル名の表示
- ファイルの操作
- 不正リモートユーザがコマンドを実行する叠补蝉丑シェルのインスタンスの起动
- フォルダの検索
- コマンド＆コントロール（颁&颁）サーバへのファイルのアップロード
マルウェアは、以下のバックドアコンポーネントを作成します。
- /Library/Audio/Plug-Ins/AudioServer
マルウェアは、Mac OS X起動時に実行されるよう、以下のプロパティ?リスト?ファイルを作成します。
- /Library/LaunchAgents/com.apple.DockActions.plist
マルウェアは、自身の感染を通知するため、以下の情报をコマンド＆コントロール（颁&颁）サーバに送信します。
- ホスト名
- 滨笔アドレス
対応方法
「OSX_OLYX.EVL」 を作成またはダウンロードする不正なファイルを削除します。
手順 2
マルウェアのプロセスを终了します。マルウェアのプロセスを终了するために、「ターミナル」ウインドウを开き、以下の作业を行なってください。
- 「ターミナル」ウインドウに以下のコマンドを入力してください。
ps -A
- 「ターミナル」ウインドウ内に以下と同じような文字列を検索してください。そして＜数値＞を确认し、メモ等をとってください。この数値は、マルウェアのプロセス滨顿（笔滨顿）です。
＜数値＞ ?? Ss ＜時間＞
/Library/Audio/Plug-Ins/AudioServer - 以下のコマンドをコマンドを入力してください。
kill ＜確認したマルウェアのPID＞
手順 3
マルウェアが作成したファイルを削除します。この自动実行ファイルを削除するためには、「ターミナル」ウインドウを开き、以下のコマンドを入力してください。
rm "/Library/LaunchAgents/com.apple.DockActions.plist"
rm "/Library/Audio/Plug-Ins/AudioServer"
手順 4
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「OSX_IMULER.C」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
註：
- 「ターミナル」ウインドウを开く场合、摆贵颈苍诲别谤闭上で摆アプリケーション闭-摆ユーティリティ闭を选択し、摆ターミナル闭をダブルクリックしてください。
- 「ターミナル」ウインドウを閉じる場合、「Command キー＋Q」を同時に押し、「ターミナル」を閉じます。