这是一个创建于 2840 天前的主题，其中的信息可能已经有所发展或是发生改变。
https://blog.malwarebytes.com/threat-analysis/2017/01/nw-mac-backdoor-using-antiquated-code/
这玩意错综复杂，本体是一个 perl 脚本，自带使用 screencapture 命令截图的功能，然后会释放一个 Java 的 class 文件和一个可执行文件，并试图运行它们；整个程序运行在当前用户权限之下。 可执行文件里面使用了 QuickTime 的 API （ Sequence Grabber ）来调用摄像头拍摄图片，使用了非 libjpeg-turbo 的古董版本 libjpeg 来压缩图片。原文认为，这两套东西都比 Mac OS X 10.0 都早，说明这个木马最早版本可能是 N 年之前的产物，甚至可能在 Mac 还是 PowerPC 的时期就搞出来了。而这个 Java 程序里面又是另外一种截图方法，以及模拟键盘鼠标操作。
程序还会从服务器上下载两个 perl 脚本，负责用 mDNS 查找内网其他机器并连接其他机器，但并没有提到其使用漏洞向其他机器传播自身。原文从脚本中和 Yosemite 相关的一处注释上来看，这个木马至少是从 Yosemite 时期开始活动的，然后于 2017 年初被发现。奇怪的是，这个木马如此简单（就是一个 launchagent+一个 perl 脚本），没有使用任何漏洞，除了混淆了 perl 代码之外也没有任何自我保护措施，居然在 2017 年 1 月之前一直没有被发现。
一个看姓氏是俄罗斯或者东欧的黑客 Phillip R. Durachinsky 在 2017 年初因为其他的案件被捕，上周在联邦法庭遭到起诉，根据指控，他利用这个木马偷拍照片为期长达 13 年，偷拍了数百万张图片。 https://www.justice.gov/opa/pr/ohio-computer-programmer-indicted-infecting-thousands-computers-malicious-software-and https://arstechnica.com/information-technology/2018/01/man-charged-in-malware-mystery-that-allegedly-spied-on-mac-users-for-13-years/
 | 1 viosey 2018-01-12 00:42:14 +08:00  1 自从看了黑镜，摄像头已用黑胶布贴住 (滑稽 |
 | 2 yksoft1 OP 2017 年 1 月被捕的 13 年前，现年 28 岁的这个木马作者应该是 14 岁。估计当时他看的 90 年代末的 Mac 文档开发出了这个程序。。。 |
 | 3 marenight 2018-01-12 02:53:13 +08:00 via iPhone 1 妈的，不是说 mac 的摄像头指示灯是写在固件里的么? |
 | 4 nicevar 2018-01-12 07:13:59 +08:00 via iPhone 1 mac 中木马的人真不少，而且相当一部分是 IT 行业，很多人不知道自己中招了，还整天在那宣扬 mac 很安全，老毛子特爱在破解软件上绑木马，特别是 pd，安装的时候弹出密码授权框蒙骗过关 |
 | 7 run2 2018-01-12 10:31:08 +08:00 1 @zhaogaz #6 https://github.com/synack/knockknock 可以查看所有的启动项，可以排查 但一个个看下来还是很累的 |
 | 9 tagtag 2018-01-12 16:24:47 +08:00 用了 mac 之后软件费用花了 3000+了，支持正版是一个原因，另一个原因就是 mac 上的破解软件来源非常混杂，你不知道谁在里面加了什么料，而且很多正版开源软件安装的时候也会要求权限，弹出密码框，所以安装未知来源软件时候没法确定给不给权限，然而 mac 上的安全性常年不被重视，一直宣扬安全也是因为仅仅 macOS 份额太小，可能不值得特意开发恶意软件，而不是系统多么牢不可破，加之没有类似 windows 平台的优秀杀软，如果你的软件大多数是盗版的，千万别说你的 mac 很安全，搞不好已经千疮百孔了。 |
| 10 nicevar 2018-01-12 19:14:16 +08:00 @zhaogaz 没有什么好的工具，毕竟 mac 上反病毒落后 win 太多，通过蒙骗的手段搞定 mac 比 win 容易多了，win 上面的防护软件基本上各个角落都盯着，调用个 api 都被盯着，没有深厚的内核技术根本搞不定，mac 下就不一样了，基本上没有任何防护软件的，很低的技术含量就能搞定一堆 所以最好的办法是自己清楚每一个进程，经常观察网络端口连接情况，看是否有奇怪的请求 |
Select Language