Защити созданное

Другие наши ресурсы

  • free.drweb.kz — бесплатные утилиты, плагины, информеры
  • av-desk.com — интернет-сервис для поставщиков услуг Dr.Web AV-Desk
  • curenet.drweb.kz — сетевая лечащая утилита Dr.Web CureNet!
Закрыть

Библиотека
Моя библиотека

Чтобы добавить ресурс в библиотеку, войдите в аккаунт.

+ Добавить в библиотеку

Ресурсов: -

Последний: -

Моя библиотека

Поддержка
Круглосуточная поддержка | Правила обращения

Позвоните

Глобальная поддержка:
+7 (495) 789-45-86

ЧаВо | Форум

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Глобальная поддержка:
+7 (495) 789-45-86

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

Mac.Trojan.VSearch.4

Добавлен в вирусную базу Dr.Web: 2016-02-24

Описание добавлено:

SHA1 7e82a05a9854f979607b2f9427817bef4bca2dc1

Вредоносная программа для OS X, устанавливается троянцем Mac.Trojan.VSearch.2.

Cодержит следующие компоненты:


DemoUpdater.app
daemon_config.plist
install_updater.sh
preferences.plist
readme_upd.txt
st-up.sh
uninstall_updater.sh

При установке выполняет следующие шаги (определены в скрипте install_updater.sh):

  1. генерирует случайное имя для троянца и добавляет к нему значение "Upd" (далее — appName);
  2. записывает в файл "/Library/Preferences/com.common.plist" значение appName по ключу name_upd;
  3. создает файл "/Library/Preferences/com.appName.preferences.plist";
  4. в этот файл записываются следующие параметры:
    • dist_channel_id
    • machine_id
    • click_id
    • domain
  5. сам исполняемый файл копируется в /Library/appName;
  6. исполняемый файл троянца запускается с помощью launchctl load.

При запуске вредоносная программа расшифровывает ряд зашитых в ее тело параметров, которые необходимы для ее дальнейшей работы. Далее троянец читает файл /Library/Preferences/com.common.plist, чтобы определить местоположение конфигурационного файла с дополнительными параметрами. После получения параметров формируется URL вида:

http://domain/pd/pi?id=machine_id&d=dist_channel_id&cl=click_id

В ответ троянец получат ссылку, по которой скачивает файл сценария и передает его командному интерпретатору (!#/bin/bash).

Процесс повторной загрузки и запуска скрипта повторяется каждый день. Mac.Trojan.VSearch.4 может формировать несколько адресов для скачивания полезной нагрузки, всего специалисты компании «Доктор Веб» насчитали 406 возможных вариантов.

Одна из задач, которую выполняет этот сценарий, — загрузка с удаленного сервера и запуск троянца Mac.Trojan.VSearch.7. Помимо этого с помощью данного скрипта Mac.Trojan.VSearch.4 может установить в качестве поисковой службы по умолчанию сервер Trovi, а также скачать для браузеров Safari, Chrome и Firefox поисковый плагин, детектируемый Антивирусом Dr.Web как нежелательное приложение Program.Mac.Unwanted.BrowserEnhancer.1.

Новость о троянце

Рекомендации по лечению


macOS

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

На 1 месяц (без регистрации) или 3 месяца (с регистрацией и скидкой на продление)

Скачать Dr.Web

По серийному номеру