OS X fájlok vizsgálata a VirusTotalon

2015. november 30. 12:55 - Csizmazia Darab István [Rambo]

Újabb extra szolgáltatást kapcsoltak be az immár 55 antivírus motort mozgató VirusTotal weboldalon. A korábbi hasznos kiegészítések után - például EXE és PDF fájlfejléc szerkezetek részletes vizsgálata - mostantól a Macintosh gépekről származó gyanús minták kerülnek alaposabb elemzésre.

A Mac gépeken nincsenek kártevők - ez az állítás jó pár éve már nem állja meg a helyét, igaz persze hogy Windows platformhoz képest még mindig sokkalta jobb a helyzet.

Azonban ahogy a Linux esetében is láthattuk, nem attól lesz egy OS jobban védett, hogy a felhasználónak lövése sincs, mi zajlik a gépében, ha kategórikusan tagadja a kártevők létezését, vagy ha nem frissíti és soha semmivel nem ellenőrzi a rendszerét. Az OS X kártevők rövid történetét egyszer már összefoglaltuk, így ezt most csak belinkeljük.  

Talán ha ezek közül egy nagyon emlékezetes eseményt kellene kiragadni, akkor a 2012-es Flashback botnet lenne az, ami 600 ezer Mac gépet tudott megfertőzni. A még 2011-ben kezdődött incidensnél a magát Flash frissítésnek álcázó kártevő a Java egyik biztonsági rését használta ki.

Terjeszkedése érdekében pedig több módon is képes volt csatlakozni a C&C szerverhez, például domain neveket generált és adott Twitter hashtagekre is rákeresett.

Megszokhattuk már, hogy Windows alatt mennyire kényelmessé igyekeznek tenni a felhasználók életét, és egy-egy gyanús fájl feltöltéséhez ott már régóta nem kell böngészőre váltva weboldalra ugrani, majd a mintát kiválasztva feltölteni, hanem ehhez elég egy beépülő modul, meg egy jobb egérgomb is.

Emiatt a VirusTotalnál úgy érezték, eljött az idő arra, hogy extra figyelmet fordítsanak az OS X rendszerre és mindez itt is megvalósulhasson 2014. tavaszától.

Az EXE fejléc szerkezetének (import táblák, stb.) a sokat támadott PDF formátum is kapott extra kiegészítést, így az alapos fejléc elemzésben ott is látjuk már, hogy hibás-e a szerkezet, vagy például van-e benne beágyazott Javascript.

Most pedig újabb tégla került a falba: homokozóba küldhetők a telepítő DMG disk image csomagok valamint  az OS X-es Mach-O futtatható formátumok, így a korábbiakhoz (pl. certificate adatok) képest olyan részletesebb viselkedési információkkal találkozhatunk mostantól, mint belépési pont, vagy a shared library elemek.

1 komment

A bejegyzés trackback címe:

https://antivirus.blog.hu/api/trackback/id/tr968127360

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.