Analizzato da: Christopher Daniel So   
 

OSX.Slordu (Symantec), Backdoor.OSX.Belfibod.a (Kaspersky), OSX/Slordu-A (Sophos), OSX/Stealer.B (AVG), OSX/XSLCmd.A (ESET)

 Piattaforma:

Mac OS X

 Valutazione del rischio complessivo:
 Potenziale dannoso: :
 Potenziale di distribuzione: :
 Reported Infection:
 Informazioni esposizione: :
Basso
Medio
Alto
Critico

  • Tipo di minaccia informatica:
    Backdoor

  • Distruttivo?:
    No

  • Crittografato?:
    Sì

  • In the wild::
    Sì

  Panoramica e descrizione

Canale infezione: Descargado de Internet, Eliminado por otro tipo de malware

Para obtener una visión integral del comportamiento de este Backdoor, consulte el diagrama de amenazas que se muestra a continuación.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Registra las pulsaciones de teclas de un usuario para robar información.

  Dettagli tecnici

Dimensione file: 345,360 bytes
Tipo di file: Mach-O
Residente in memoria: Sì
Data di ricezione campioni iniziali: 08 settembre 2014
Carica distruttiva: Compromises system security, Drops files, Steals information

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

  • /Library/Logs/clipboardd
  • $HOME/Library/LaunchAgents/clipboardd

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

  • $HOME/.fontset/pxupdate.ini
  • $HOME/.fontset/chkdiska.dat
  • $HOME/.fontset/chkdiskc.dat

Crea las carpetas siguientes:

  • $HOME/.fontset
  • $HOME/Library/Logs/BackupData

Finaliza la ejecución de la copia que ejecutó inicialmente y ejecuta en su lugar la copia que ha creado.

Técnica de inicio automático

Infiltra los archivos siguientes:

  • /Library/LaunchAgents/com.apple.service.clipboardd.plist
  • $HOME/Library/LaunchAgents/com.apple.service.clipboardd.plist

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

  • Upload a file to the C&C server
  • Download a file
  • Start a remote shell
  • Enumerate the contents of a directory
  • Delete a file
  • Uninstall itself
  • Capture screenshot
  • Get the following information:
    • OS name
    • OS version
    • Host name
    • User name
    • Home directory
    • Contents of the /Applications folder
  • Update configuration file

Rutina de infiltración

Este malware infiltra el/los siguiente(s) archivo(s), que utiliza para su rutina de captura de teclado:

  • $HOME/Library/Logs/BackupData/{year}{month}{day}_{hour}{minute}_{second}_keys.log

Robo de información

Registra las pulsaciones de teclas de un usuario para robar información.

  Soluzioni

Motore di scansione minimo: 9.700
Primo file di pattern VSAPI: 11.136.07
Data di pubblicazione del primo pattern VSAPI: 09 settembre 2014
Versione pattern VSAPI OPR: 11.137.00
Data di pubblicazione del pattern VSAPI OPR: 09 settembre 2014
Sondaggio