OSX_NETWRD.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、LinuxおよびMacのオペレーティングシステム（OS）上で実行され、複数の人気インターネットアプリケーションによって保存されているパスワードを収集するように設計されています。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Get OS version, user name, host name, $PATH variable, home directory, malware process ID, current process path
• Download a file and save it as /tmp/{random file name 1}, then execute the downloaded file
• Exit
• List files in a directory
• Read a file
• Write and close a file
• Copy a file
• Execute a file
• Rename a file
• Delete a file
• Create a directory
• Start remote shell
• Kill a process
• Get currently logged in users
• Enumerate window titles of all processes
• Download a file and save it as /tmp/{random file name 2}
• Simulate keyboard press
• Simulate mouse event
• Get stored login credentials in Thunderbird, SeaMonkey, Mozilla Firefox

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.208.65:4141

マルウェアが実行するコマンドは、以下のとおりです。

• OSのバージョン、ユーザ名、ホスト名、PATH環境変数、ホームディレクトリ、マルウェアのプロセス識別子、カレントプロセスのパスといった情報の取得
• ファイルをダウンロードし、"/tmp/＜ランダムなファイル名 1＞" として保存、実行する
• 自身の終了
• ディレクトリ内のファイルのリスト化
• ファイルの読み込み
• ファイルを書き込み、閉じる
• ファイルのコピー
• ファイルの実行
• ファイル名の改称
• ファイルの削除
• ディレクトリの作成
• リモートシェルの開始
• プロセスの終了
• ログイン中のユーザに関する情報の取得
• すべてのプロセスのウィンドウタイトルを列挙する
• ファイルをダウンロードし、"/tmp/＜ランダムなファイル名 2＞" として保存する
• キーボードを押す力をシュミレートする
• マウスイベントをシュミレートする
• Thunderbird、SeaMonkeyおよびMozilla Firefoxに保存されているログイン情報の取得