![Trend Micro Security](https://www.trendmicro.com/content/dam/trendmicro/global/en/global/logo/logo-desktop.png)
OSX_IWORM.A
Backdoor.OSX.iWorm.f (Kaspersky), OSX/iWorm (McAfee), Mac.OSX.iWorm.C (F-Secure), Mac.OSX.iWorm.C (BitDefender), OSX/Iservice.AG (ESET), OSX.Luaddit (Symantec)
Mac OSX
![](/vinfo/imgFiles/JPlegend.jpg)
- マルウェアタイプ: バックドア型
- 破壊活動の有無: なし
- 暗号化: はい
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
マルウェアは、以下の方法でコンピュータに侵入します。
- Disguised as a Legit Application Installer downloaded by user
インストール
マルウェアは、以下のファイルを作成します。
- /Library/Application Support/JavaW/JavaW
- /Library/LaunchDaemons/com.JavaW.plist
- /Users/{user name}/.JavaW
- /private/var/root/.JavaW
バックドア活動
マルウェアは、不正リモートユーザからの以下のコマンドを実行します。
- Execute scripts
- Download and execute arbitrary file
- Sleep
- Get node information
- Get Bot ID
情報漏えい
マルウェアは、以下の情報を収集します。
- UID
- Opened port
その他
マルウェアは、ユーザにダウンロードされる正規のアプリケーションインストーラを装ってコンピュータに侵入します。
マルウェアが実行する不正リモートユーザからのコマンドは、以下のとおりです。
- スクリプトの実行
- 任意のファイルのダウンロードおよび実行
- スリープ
- ノード情報の取得
- ボットIDの取得
マルウェアが収集する情報は、以下のとおりです。
- UID
- 開かれたポート
マルウェアは、"Reddit"のサイトをクエリし、投稿からC&Cサーバのリストを取得します。
- http://reddit.com/search?q={key}
「{key}」は、現在の日付のハッシュされたMD5の値の最初の8バイトとなります。
以下のようにC&Cのリストが投稿されます。
対応方法
註:
トレンドマイクロの製品でコンピュータをスキャンし、マルウェアが検出されたフォルダをメモします。
上述の手順でメモしたフォルダを用い、マルウェアのプロセスを特定および終了します。
- [アプリケーション]>[ユーティリティ]>[ターミナル]をクリックするか、"Spotlight"で"Terminal"と入力することにより、「ターミナル」ウインドウを開きます。
- 「ターミナル」ウインドウに以下を入力してください。
ps –A - 「ターミナル」ウインドウ内で検出されたファイルを検索し、それらのプロセスID(PID)をメモしてください。検出されるファイルの実行が確認されない場合、次の手順に進んでください。
- 「ターミナル」ウインドウで、各PIDに対し、以下のコマンドを入力してください。
kill {PID} - マルウェアのファイル/コンポーネントを削除します。
- 「ターミナル」ウインドウで、以下のコマンドを入力してラインごとにEnterを押してください。
sudo rm –R
"/Library/Application Support/JavaW/JavaW"
sudo rm –R
"/Library/LaunchDaemons/com.JavaW.plist"
sudo rm –R
"/Users/{user name}/.JavaW"
sudo -s
rm –R
"/private/var/root/.JavaW" - このマルウェアのファイル/コンポーネントが確認されない場合は、次の手順に進んでください。
最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「OSX_IWORM.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか? アンケートにご協力ください