Analyse von: Christopher Daniel So   

 

Backdoor:MacOS_X/DevilRobber.A (Microsoft)

 Plattform:

Mac OS X

 Risikobewertung (gesamt):
 reportedInfection:
 Beeinträchtigung der Systemleistung ::
 Trend Micro Lösungen:
Niedrig
Mittel
Hoch
Kritisch

  • Malware-Typ:
    Spyware

  • Zerstrerisch?:
    Nein

  • Verschlsselt?:
    Ja

  • In the wild::
    Ja

  Überblick

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

  Technische Details

Dateigröße: Variiert
Dateityp: Mach-O, Script
Speicherresiden: Ja
Erste Muster erhalten am: 02 November 2011
Schadteil: Creates files

Übertragungsdetails

Wird möglicherweise von der folgenden Malware/Grayware/Spyware von externen Sites heruntergeladen:

  • TROJ_COINMINE.A

Backdoor-Routine

Öffnet folgende Ports und wartet dort auf Remote-Befehle:

  • TCP port 34123

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

  • 1 - execute a command and return the result to the remote client
  • 2 - take a screenshot by running the command screencapture -T 0 -x 1.png, uuencode the file 1.png to s.txt, send s.txt to the remote client, and delete 1.png and s.txt after sending
  • any other command - close the connection

  Lösungen

Mindestversion der Scan Engine: 9.200
Erste VSAPI Pattern-Datei: 8.560.05
Erste VSAPI Pattern veröffentlicht am: 09 November 2011
VSAPI OPR Pattern-Version: 8.561.00
VSAPI OPR Pattern veröffentlicht am: 10 November 2011

Step 2

Malware-Dateien entfernen, die hinterlassen/heruntergeladen wurden von OSX_COINMINE.A

Step 3

Führen Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt nach Dateien, die als OSX_COINMINE.A entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.


Nehmen Sie an unserer Umfrage teil