OSX_IMULER.C

Wird möglicherweise von anderer Malware eingeschleust.

Führt bestimmte Befehle aus, die sie extern von einem böswilligen Benutzer erhält. Dadurch sind der betroffene Computer und auf ihm gespeicherte Daten stärker gefährdet.

Übertragungsdetails

Wird möglicherweise von der folgenden Malware eingeschleust:

• OSX_IMULER.B

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• /Users/{user name}/Library/LaunchAgents/checkvir

Autostart-Technik

Schleust die folgenden Dateien ein:

• /Users/{user name}/Library/LaunchAgents/checkvir.plist

Backdoor-Routine

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Take a screen shot
• Update the C&C server name
• List the contents of a folder and save it as /tmp/launch-0rp.dat. Then upload the file /tmp/launch-0rp.dat.
• Get the file size of a file
• Download a file from a URL
• Execute a command via the shell
• Delete a file
• Download a file and save it as /tmp/xntaskz.gz. Decompress the downloaded file to /tmp/xntaskz. Execute the following command:
  /tmp/CurlUpload -f /tmp/xntaskz

Download-Routine

Öffnet die folgenden Websites, um Dateien herunterzuladen:

• http://www.{BLOCKED}sbutters.com/CurlUpload

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• /tmp/CurlUpload