OSX_WIRELURK.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、「Wirelurker」ファミリに属するトロイの木馬化されたアプリです。

マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• /Library/LaunchDaemons/com.apple.machook_damon.plist
• /Library/LaunchDaemons/com.apple.globalupdate.plist
• /Users/Shared/start.sh
• /Users/Shared/FontMap1.cfg
• /usr/bin/globalupdate
• /usr/local/macbook/watch.sh
• /usr/local/machook/sfbase.dylib
• /tmp/machook.log

情報漏えい

マルウェアは、以下の情報を収集します。

• Serial number
• Phone number
• Model number
• Product version
• Product type
• AppleID

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}baby.com/app/app.php?sn={serial number}&pn={Phone number}&mn={Model number}&pv={Product version}&appid={value}&os=macservice&pt={Product type}&msn={value}&yy={value}
• http://{BLOCKED}baby.com/mac/saveinfo.php

<補足>
マルウェアが収集する情報は、以下のとおりです。

• シリアル番号
• 電話番号
• モデル番号
• プロダクトバージョン
• プロダクトタイプ
• Apple ID

コンポーネント"globalupdate"（「OSX_WIRELURK.A」として検出）により、マルウェアは、サーバから自身のコピーの更新版をダウンロードおよび以下のように保存することが可能となります。

• /usr/local/machook/update/update.zip

マルウェアは、以下のURLへアクセスし、自身のコピーの更新版へのリンクを取得します。

• http://{BLOCKED}baby.com/app/getversion.php?sn={シリアル番号}

マルウェアは、iOSの端末のプラグインを定期的に確認します。マルウェアは、端末へのアクセス許可のため、AFC2サービスである"http://{BLOCKED}onewiki.com/wiki/AFC.com.apple.afc2"へアクセスします。そして、マルウェアは以下のファイルを端末へコピーします。

• /usr/local/machook/sfbase.dylib to /Library/MobileSubstrate/DynamicLibraries/sfbase.dylib