Trend Micro Security

OSX_DOKSPY.B

2017年7月18日
 解析者: Marvelous Pelin   
 別名:

HEUR:Trojan-Spy.OSX.Aptordoc.c(Kaspersky)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: トロイの木馬型
  • 破壊活動の有無: なし
  • 暗号化: なし
  • 感染報告の有無: はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ユーザが特定のWebサイトにアクセスできないように、感染コンピュータのHOSTSファイルを改変します。

  詳細

ファイルサイズ 170,014 bytes
タイプ ZIP
メモリ常駐 はい
発見日 2017年7月13日
ペイロード 画像の表示

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

HOSTSファイルの改変

マルウェアは、ユーザが以下のWebサイトにアクセスできないように、感染コンピュータのHOSTSファイルを改変します。

    • 127.0.0.1 localhost
    • 255.255.255.255 broadcasthost
    • ::1 localhost
    • 127.0.0.1 metrics.apple.com
    • 127.0.0.1 ocsp.apple.com
    • 127.0.0.1 su.itunes.apple.com
    • 127.0.0.1 ax.su.itunes.apple.com
    • 127.0.0.1 swscan.apple.com
    • 127.0.0.1 swcdn.apple.com
    • 127.0.0.1 swdist.apple.com
    • 127.0.0.1 a1.phobos.apple.com
    • 127.0.0.1 a101.phobos.apple.com
    • 127.0.0.1 a102.phobos.apple.com
    • 127.0.0.1 a103.phobos.apple.com
    • 127.0.0.1 a104.phobos.apple.com
    • 127.0.0.1 a105.phobos.apple.com
    • 127.0.0.1 a11.phobos.apple.com
    • 127.0.0.1 a12.phobos.apple.com
    • 127.0.0.1 a13.phobos.apple.com
    • 127.0.0.1 a14.phobos.apple.com
    • 127.0.0.1 a15.phobos.apple.com
    • 127.0.0.1 access.apple.com
    • 127.0.0.1 advertising.apple.com
    • 127.0.0.1 albert.apple.com
    • 127.0.0.1 ali.apple.com
    • 127.0.0.1 ams.apple.com
    • 127.0.0.1 apple.apple.com
    • 127.0.0.1 apple.com
    • 127.0.0.1 appleconnect.apple.com
    • 127.0.0.1 appleid-it.apple.com
    • 127.0.0.1 appleid.apple.com
    • 127.0.0.1 appleseed.apple.com
    • 127.0.0.1 appleseed3.apple.com
    • 127.0.0.1 appleseedtest.apple.com
    • 127.0.0.1 aps.info.apple.com
    • 127.0.0.1 ara.apple.com
    • 127.0.0.1 arait.apple.com
    • 127.0.0.1 asia.apple.com
    • 127.0.0.1 asw.apple.com
    • 127.0.0.1 atlaslms.apple.com
    • 127.0.0.1 av.apple.com
    • 127.0.0.1 benefits.apple.com
    • 127.0.0.1 beta.apple.com
    • 127.0.0.1 bugreport.apple.com
    • 127.0.0.1 bugreporter.apple.com
    • 127.0.0.1 c.apple.com
    • 127.0.0.1 calendar.apple.com
    • 127.0.0.1 certifications-test.apple.com
    • 127.0.0.1 certifications.apple.com
    • 127.0.0.1 certifications2.apple.com
    • 127.0.0.1 checkcoverage.apple.com
    • 127.0.0.1 checkrepair.apple.com
    • 127.0.0.1 concierge-mobile.apple.com
    • 127.0.0.1 concierge.apple.com
    • 127.0.0.1 consultants.apple.com
    • 127.0.0.1 cooljobs.apple.com
    • 127.0.0.1 deimos.apple.com
    • 127.0.0.1 deimos2.apple.com
    • 127.0.0.1 deimos3.apple.com
    • 127.0.0.1 deploy.apple.com
    • 127.0.0.1 developer.apple.com
    • 127.0.0.1 developer2.apple.com
    • 127.0.0.1 developertest.apple.com
    • 127.0.0.1 devforums.apple.com
    • 127.0.0.1 devimages.apple.com
    • 127.0.0.1 diagnostics.apple.com
    • 127.0.0.1 discussions.apple.com
    • 127.0.0.1 documentation.apple.com
    • 127.0.0.1 downloads.apple.com
    • 127.0.0.1 ecommerce.apple.com
    • 127.0.0.1 employment.apple.com
    • 127.0.0.1 enterprise.apple.com
    • 127.0.0.1 ep.sap.apple.com
    • 127.0.0.1 erp.apple.com
    • 127.0.0.1 esp-test.apple.com
    • 127.0.0.1 esp.apple.com
    • 127.0.0.1 euro.apple.com
    • 127.0.0.1 events.apple.com
    • 127.0.0.1 ext.apple.com
    • 127.0.0.1 ext1.apple.com
    • 127.0.0.1 extensions.apple.com
    • 127.0.0.1 files.apple.com
    • 127.0.0.1 gspa21.ls.apple.com
    • 127.0.0.1 gsx-it.apple.com
    • 127.0.0.1 gsx.apple.com
    • 127.0.0.1 gsxit.apple.com
    • 127.0.0.1 guide.apple.com
    • 127.0.0.1 help.apple.com
    • 127.0.0.1 hrweb.apple.com
    • 127.0.0.1 iad.apple.com
    • 127.0.0.1 iadworkbench.apple.com
    • 127.0.0.1 id.apple.com
    • 127.0.0.1 identity.apple.com
    • 127.0.0.1 iforgot.apple.com
    • 127.0.0.1 images.apple.com
    • 127.0.0.1 index.apple.com
    • 127.0.0.1 init.apple.com
    • 127.0.0.1 investor.apple.com
    • 127.0.0.1 iphone.apple.com
    • 127.0.0.1 itunes.apple.com
    • 127.0.0.1 itunespartner.apple.com
    • 127.0.0.1 jobs.apple.com
    • 127.0.0.1 k.apple.com
    • 127.0.0.1 lists.apple.com
    • 127.0.0.1 locate.apple.com
    • 127.0.0.1 macos.apple.com
    • 127.0.0.1 manuals.info.apple.com
    • 127.0.0.1 manuals01.info.apple.com
    • 127.0.0.1 manuals02.info.apple.com
    • 127.0.0.1 manuals03.info.apple.com
    • 127.0.0.1 manuals04.info.apple.com
    • 127.0.0.1 maps.apple.com
    • 127.0.0.1 mapsconnect.apple.com
    • 127.0.0.1 meetingroom.apple.com
    • 127.0.0.1 mfi.apple.com
    • 127.0.0.1 mobile.apple.com
    • 127.0.0.1 mobileaccess.apple.com
    • 127.0.0.1 movies.apple.com
    • 127.0.0.1 movietrailers.apple.com
    • 127.0.0.1 myaccess-it.apple.com
    • 127.0.0.1 myaccess.apple.com
    • 127.0.0.1 mynews.apple.com
    • 127.0.0.1 mystore.apple.com
    • 127.0.0.1 news.apple.com
    • 127.0.0.1 nr.apple.com
    • 127.0.0.1 opensource.apple.com
    • 127.0.0.1 podcastsconnect.apple.com
    • 127.0.0.1 portal.apple.com
    • 127.0.0.1 quicktime.apple.com
    • 127.0.0.1 radar.apple.com
    • 127.0.0.1 register.apple.com
    • 127.0.0.1 relay.apple.com
    • 127.0.0.1 relay1.apple.com
    • 127.0.0.1 relay11.apple.com
    • 127.0.0.1 relay12.apple.com
    • 127.0.0.1 relay13.apple.com
    • 127.0.0.1 relay14.apple.com
    • 127.0.0.1 relay15.apple.com
    • 127.0.0.1 relay2.apple.com
    • 127.0.0.1 relay3.apple.com
    • 127.0.0.1 relay4.apple.com
    • 127.0.0.1 relay5.apple.com
    • 127.0.0.1 remoteadvisor.apple.com
    • 127.0.0.1 remoteadvisor1.apple.com
    • 127.0.0.1 remoteadvisor2.apple.com
    • 127.0.0.1 reportaproblem.apple.com
    • 127.0.0.1 s.apple.com
    • 127.0.0.1 safari-extensions.apple.com
    • 127.0.0.1 sales.apple.com
    • 127.0.0.1 salesresources.apple.com
    • 127.0.0.1 school.apple.com
    • 127.0.0.1 selfsolve.apple.com
    • 127.0.0.1 servers.apple.com
    • 127.0.0.1 service.apple.com
    • 127.0.0.1 sift.apple.com
    • 127.0.0.1 signin.apple.com
    • 127.0.0.1 signin.info.apple.com
    • 127.0.0.1 source.apple.com
    • 127.0.0.1 ssl.apple.com
    • 127.0.0.1 sso.apple.com
    • 127.0.0.1 store.apple.com
    • 127.0.0.1 support.apple.com
    • 127.0.0.1 support01.apple.com
    • 127.0.0.1 support02.apple.com
    • 127.0.0.1 support03.apple.com
    • 127.0.0.1 support04.apple.com
    • 127.0.0.1 support05.apple.com
    • 127.0.0.1 supportprofile.apple.com
    • 127.0.0.1 supporttest.apple.com
    • 127.0.0.1 survey.apple.com
    • 127.0.0.1 survey2.apple.com
    • 127.0.0.1 swdlp.apple.com
    • 127.0.0.1 time.apple.com
    • 127.0.0.1 time1.apple.com
    • 127.0.0.1 time2.apple.com
    • 127.0.0.1 time3.apple.com
    • 127.0.0.1 time4.apple.com
    • 127.0.0.1 time5.apple.com
    • 127.0.0.1 tips.apple.com
    • 127.0.0.1 trailers.apple.com
    • 127.0.0.1 training.apple.com
    • 127.0.0.1 trainingevents.apple.com
    • 127.0.0.1 uptodate.apple.com
    • 127.0.0.1 volume.apple.com
    • 127.0.0.1 war.apple.com
    • 127.0.0.1 www1.apple.com
    • 127.0.0.1 wwwtest.apple.com
    • 127.0.0.1 xml.apple.com
    • 127.0.0.1 xp.apple.com
    • 127.0.0.1 xp2.apple.com
    • 127.0.0.1 virustotal.com
    • 127.0.0.1 www.virustotal.com

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

  • api.ipify.org

  対応方法

対応検索エンジン: 9.850
初回 VSAPI パターンバージョン 13.532.06
初回 VSAPI パターンリリース日 2017年7月14日
VSAPI OPR パターンバージョン 13.533.00
VSAPI OPR パターンリリース日 2017年7月15日

手順 1

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「OSX_DOKSPY.B」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 2

不正プログラム/グレイウェア/スパイウェアがHOSTSファイルに追加した文字列を削除します。

[ 詳細 ]
    • 127.0.0.1 localhost
    • 255.255.255.255 broadcasthost
    • ::1             localhost
    • 127.0.0.1 metrics.apple.com
    • 127.0.0.1 ocsp.apple.com
    • 127.0.0.1 su.itunes.apple.com
    • 127.0.0.1 ax.su.itunes.apple.com
    • 127.0.0.1 swscan.apple.com
    • 127.0.0.1 swcdn.apple.com
    • 127.0.0.1 swdist.apple.com
    • 127.0.0.1 a1.phobos.apple.com
    • 127.0.0.1 a101.phobos.apple.com
    • 127.0.0.1 a102.phobos.apple.com
    • 127.0.0.1 a103.phobos.apple.com
    • 127.0.0.1 a104.phobos.apple.com
    • 127.0.0.1 a105.phobos.apple.com
    • 127.0.0.1 a11.phobos.apple.com
    • 127.0.0.1 a12.phobos.apple.com
    • 127.0.0.1 a13.phobos.apple.com
    • 127.0.0.1 a14.phobos.apple.com
    • 127.0.0.1 a15.phobos.apple.com
    • 127.0.0.1 access.apple.com
    • 127.0.0.1 advertising.apple.com
    • 127.0.0.1 albert.apple.com
    • 127.0.0.1 ali.apple.com
    • 127.0.0.1 ams.apple.com
    • 127.0.0.1 apple.apple.com
    • 127.0.0.1 apple.com
    • 127.0.0.1 appleconnect.apple.com
    • 127.0.0.1 appleid-it.apple.com
    • 127.0.0.1 appleid.apple.com
    • 127.0.0.1 appleseed.apple.com
    • 127.0.0.1 appleseed3.apple.com
    • 127.0.0.1 appleseedtest.apple.com
    • 127.0.0.1 aps.info.apple.com
    • 127.0.0.1 ara.apple.com
    • 127.0.0.1 arait.apple.com
    • 127.0.0.1 asia.apple.com
    • 127.0.0.1 asw.apple.com
    • 127.0.0.1 atlaslms.apple.com
    • 127.0.0.1 av.apple.com
    • 127.0.0.1 benefits.apple.com
    • 127.0.0.1 beta.apple.com
    • 127.0.0.1 bugreport.apple.com
    • 127.0.0.1 bugreporter.apple.com
    • 127.0.0.1 c.apple.com
    • 127.0.0.1 calendar.apple.com
    • 127.0.0.1 certifications-test.apple.com
    • 127.0.0.1 certifications.apple.com
    • 127.0.0.1 certifications2.apple.com
    • 127.0.0.1 checkcoverage.apple.com
    • 127.0.0.1 checkrepair.apple.com
    • 127.0.0.1 concierge-mobile.apple.com
    • 127.0.0.1 concierge.apple.com
    • 127.0.0.1 consultants.apple.com
    • 127.0.0.1 cooljobs.apple.com
    • 127.0.0.1 deimos.apple.com
    • 127.0.0.1 deimos2.apple.com
    • 127.0.0.1 deimos3.apple.com
    • 127.0.0.1 deploy.apple.com
    • 127.0.0.1 developer.apple.com
    • 127.0.0.1 developer2.apple.com
    • 127.0.0.1 developertest.apple.com
    • 127.0.0.1 devforums.apple.com
    • 127.0.0.1 devimages.apple.com
    • 127.0.0.1 diagnostics.apple.com
    • 127.0.0.1 discussions.apple.com
    • 127.0.0.1 documentation.apple.com
    • 127.0.0.1 downloads.apple.com
    • 127.0.0.1 ecommerce.apple.com
    • 127.0.0.1 employment.apple.com
    • 127.0.0.1 enterprise.apple.com
    • 127.0.0.1 ep.sap.apple.com
    • 127.0.0.1 erp.apple.com
    • 127.0.0.1 esp-test.apple.com
    • 127.0.0.1 esp.apple.com
    • 127.0.0.1 euro.apple.com
    • 127.0.0.1 events.apple.com
    • 127.0.0.1 ext.apple.com
    • 127.0.0.1 ext1.apple.com
    • 127.0.0.1 extensions.apple.com
    • 127.0.0.1 files.apple.com
    • 127.0.0.1 gspa21.ls.apple.com
    • 127.0.0.1 gsx-it.apple.com
    • 127.0.0.1 gsx.apple.com
    • 127.0.0.1 gsxit.apple.com
    • 127.0.0.1 guide.apple.com
    • 127.0.0.1 help.apple.com
    • 127.0.0.1 hrweb.apple.com
    • 127.0.0.1 iad.apple.com
    • 127.0.0.1 iadworkbench.apple.com
    • 127.0.0.1 id.apple.com
    • 127.0.0.1 identity.apple.com
    • 127.0.0.1 iforgot.apple.com
    • 127.0.0.1 images.apple.com
    • 127.0.0.1 index.apple.com
    • 127.0.0.1 init.apple.com
    • 127.0.0.1 investor.apple.com
    • 127.0.0.1 iphone.apple.com
    • 127.0.0.1 itunes.apple.com
    • 127.0.0.1 itunespartner.apple.com
    • 127.0.0.1 jobs.apple.com
    • 127.0.0.1 k.apple.com
    • 127.0.0.1 lists.apple.com
    • 127.0.0.1 locate.apple.com
    • 127.0.0.1 macos.apple.com
    • 127.0.0.1 manuals.info.apple.com
    • 127.0.0.1 manuals01.info.apple.com
    • 127.0.0.1 manuals02.info.apple.com
    • 127.0.0.1 manuals03.info.apple.com
    • 127.0.0.1 manuals04.info.apple.com
    • 127.0.0.1 maps.apple.com
    • 127.0.0.1 mapsconnect.apple.com
    • 127.0.0.1 meetingroom.apple.com
    • 127.0.0.1 mfi.apple.com
    • 127.0.0.1 mobile.apple.com
    • 127.0.0.1 mobileaccess.apple.com
    • 127.0.0.1 movies.apple.com
    • 127.0.0.1 movietrailers.apple.com
    • 127.0.0.1 myaccess-it.apple.com
    • 127.0.0.1 myaccess.apple.com
    • 127.0.0.1 mynews.apple.com
    • 127.0.0.1 mystore.apple.com
    • 127.0.0.1 news.apple.com
    • 127.0.0.1 nr.apple.com
    • 127.0.0.1 opensource.apple.com
    • 127.0.0.1 podcastsconnect.apple.com
    • 127.0.0.1 portal.apple.com
    • 127.0.0.1 quicktime.apple.com
    • 127.0.0.1 radar.apple.com
    • 127.0.0.1 register.apple.com
    • 127.0.0.1 relay.apple.com
    • 127.0.0.1 relay1.apple.com
    • 127.0.0.1 relay11.apple.com
    • 127.0.0.1 relay12.apple.com
    • 127.0.0.1 relay13.apple.com
    • 127.0.0.1 relay14.apple.com
    • 127.0.0.1 relay15.apple.com
    • 127.0.0.1 relay2.apple.com
    • 127.0.0.1 relay3.apple.com
    • 127.0.0.1 relay4.apple.com
    • 127.0.0.1 relay5.apple.com
    • 127.0.0.1 remoteadvisor.apple.com
    • 127.0.0.1 remoteadvisor1.apple.com
    • 127.0.0.1 remoteadvisor2.apple.com
    • 127.0.0.1 reportaproblem.apple.com
    • 127.0.0.1 s.apple.com
    • 127.0.0.1 safari-extensions.apple.com
    • 127.0.0.1 sales.apple.com
    • 127.0.0.1 salesresources.apple.com
    • 127.0.0.1 school.apple.com
    • 127.0.0.1 selfsolve.apple.com
    • 127.0.0.1 servers.apple.com
    • 127.0.0.1 service.apple.com
    • 127.0.0.1 sift.apple.com
    • 127.0.0.1 signin.apple.com
    • 127.0.0.1 signin.info.apple.com
    • 127.0.0.1 source.apple.com
    • 127.0.0.1 ssl.apple.com
    • 127.0.0.1 sso.apple.com
    • 127.0.0.1 store.apple.com
    • 127.0.0.1 support.apple.com
    • 127.0.0.1 support01.apple.com
    • 127.0.0.1 support02.apple.com
    • 127.0.0.1 support03.apple.com
    • 127.0.0.1 support04.apple.com
    • 127.0.0.1 support05.apple.com
    • 127.0.0.1 supportprofile.apple.com
    • 127.0.0.1 supporttest.apple.com
    • 127.0.0.1 survey.apple.com
    • 127.0.0.1 survey2.apple.com
    • 127.0.0.1 swdlp.apple.com
    • 127.0.0.1 time.apple.com
    • 127.0.0.1 time1.apple.com
    • 127.0.0.1 time2.apple.com
    • 127.0.0.1 time3.apple.com
    • 127.0.0.1 time4.apple.com
    • 127.0.0.1 time5.apple.com
    • 127.0.0.1 tips.apple.com
    • 127.0.0.1 trailers.apple.com
    • 127.0.0.1 training.apple.com
    • 127.0.0.1 trainingevents.apple.com
    • 127.0.0.1 uptodate.apple.com
    • 127.0.0.1 volume.apple.com
    • 127.0.0.1 war.apple.com
    • 127.0.0.1 www1.apple.com
    • 127.0.0.1 wwwtest.apple.com
    • 127.0.0.1 xml.apple.com
    • 127.0.0.1 xp.apple.com
    • 127.0.0.1 xp2.apple.com
    • 127.0.0.1 virustotal.com
    • 127.0.0.1 www.virustotal.com


ご利用はいかがでしたか？　アンケートにご協力ください