OSX_DEFMA.B

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。その理由として、ソーシャル・ネットワーキング・サービス「Facebook」に投稿されたリンクおよびSEOポイズニング（悪質なSEO対策）による攻撃を介して、このマルウェアが組み込まれている不正なWebサイトへとユーザを誘導する点が挙げられます。また、このマルウェアは、Mac OSユーザを標的とする偽セキュリティソフト型不正プログラム「FAKEAV」の亜種です。

マルウェアは、ユーザが誤ってFacebookに投稿された不正なリンクをクリックすることにより、コンピュータに侵入します。

マルウェアは、感染コンピュータのWebブラウザ上で、特定のGraphical User Interface(GUI)を表示します。

マルウェアは、コンピュータにインストールされると、偽のスキャン結果および偽の警告を表示し、ユーザにこの偽セキュリティソフトの登録を促します。

また、マルウェアは、感染コンピュータ上で規定のブラウザを開示し、成人向けコンテンツのWebサイトへアクセスします。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、ユーザの感染を通知する偽の警告を表示します。また、感染したコンピュータの偽のスキャン結果を表示します。スキャンが完了すると、ユーザに製品の購入を要求します。ユーザが偽の製品を購入しようとすると、ユーザを特定のWebサイトに誘導してクレジットカード番号といった個人情報を要求します。 ユーザがソフトウェアの購入に同意すると、マルウェアは、特定のWebサイトにアクセスします。

侵入方法

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}ngs.in/
• http://{BLOCKED}es.in/
• http://{BLOCKED}234.76/

インストール

マルウェアは、以下のファイルを作成します。

• //Application/MacDefender.app/
• //Application/MacDefender.app/Contents
• //Application/MacDefender.app/Contents/Info.plist
• //Application/MacDefender.app/Contents/MacOS
• //Application/MacDefender.app/Contents/MacOS/MacDefender
• //Application/MacDefender.app/Contents/PkgInfo
• //Application/MacDefender.app/Contents/Resources/{resource files}
• or
• //Application/MacGuard.app/
• //Application/MacGuard.app/Contents
• //Application/MacGuard.app/Contents/Info.plist
• //Application/MacGuard.app/Contents/MacOS
• //Application/MacGuard.app/Contents/MacOS/MacGuard
• //Application/MacGuard.app/Contents/PkgInfo
• //Application/MacGuard.app/Contents/Resources/{resource files}

偽セキュリティソフト型不正プログラムによる不正活動

マルウェアは、ユーザの感染を通知する偽の警告を表示します。また、感染したコンピュータの偽のスキャン結果を表示します。スキャンが完了すると、ユーザに製品の購入を要求します。ユーザが偽の製品を購入しようとすると、ユーザを特定のWebサイトに誘導してクレジットカード番号といった個人情報を要求します。

ユーザがソフトウェアの購入に同意すると、マルウェアは、購入手続きのために以下のWebサイトにアクセスします。

• http://{BLOCKED}.217.79/mac.php

マルウェアは、「Facebook」にスパムメッセージとして投稿された不正なリンクを介して、コンピュータに侵入します。マルウェアは、感染コンピュータのWebブラウザ上で、以下のGraphical User Interface(GUI)を表示します。

ユーザが、GUI上のいずれかをクリックするか、このページを再読込みしようとすると、このマルウェアを再びダウンロードすることとなります。

マルウェアは、コンピュータにインストールされると、偽のスキャン結果を表示します。

マルウェアは、以下の偽の警告を表示し、ユーザにこの偽セキュリティソフトの登録を促します。

ユーザが、この偽セキュリティソフトの購入を同意すると、以下の画面が表示されます。

また、マルウェアは、感染コンピュータ上で規定のブラウザを開示し、成人向けコンテンツのWebサイトへアクセスします。

• {BLOCKED}agra-now.net
• {BLOCKED}h.com
• {BLOCKED}mgalleries.com
• {BLOCKED}y.com
• {BLOCKED}rn.com
• {BLOCKED}orn.com