解析者: Sabrina Lei Sioting   

 別名:

OSX/Flshplyr-A (Sophos); OSX.Flashback (Symantec); Trojan-Downloader:OSX/Flashback.C (F-Secure)

 プラットフォーム:

Mac OS X 10.5 and later

 危険度:
 ダメージ度:
 感染力:
 感染確認数:

  • マルウェアタイプ:
    トロイの木馬型

  • 破壊活動の有無:
    なし

  • 暗号化:
    はい

  • 感染報告の有無 :
    はい

  概要


マルウェアは、「Adobe Flash Player」のインストーラを装います。マルウェアは、インストールを続行する前に、管理者用パスワードを要求します。

マルウェアは、リンクにアクセスし、追加のインストールファイルおよび環境設定ファイルをダウンロードします。ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、「Safari」の任意のインスタンスを再起動します。

マルウェアは、近年発売されたMac OS Xに搭載されているセキュリティ機能「Xprotect」を無効にします。マルウェアは、「XProtectUpdater」のデーモンをアンロードし、「XProtectUpdater」に関するファイルの内容を削除して、改変します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

  詳細

ファイルサイズ 147,614 bytes
タイプ Other
発見日 2011年10月20日
ペイロード ファイルのダウンロード

侵入方法

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

  • http://{BLOCKED}pdatemanager.org/FlashPlayer-11-4-macos.zip
  • http://{BLOCKED}pdatemanager.org/flashplugin/4ff

その他

マルウェアは、「Adobe Flash Player」のインストーラを装います。

マルウェアは、インストールを続行する前に、管理者用パスワードを要求します。

マルウェアは、コンピュータ上に以下のファイルが存在するかを確認します。

  • /Library/Little Snitch/lsd

「Little Snitch」は、外向きのインターネット接続のためのMac OS X用ファイアウォールソフトウェアです。

上記のファイルが存在している場合、マルウェアは、インストールを中断し、自身を削除します。上記のファイルが存在していない場合、マルウェアは、自身のインストールを続行します。

マルウェアは、以下のリンクにアクセスし、追加のインストールファイルおよび環境設定ファイルをダウンロードします。

  • http://<省略>.43.31//counter/<16進法値>
  • http://<省略>.com/counter/<16進法値>

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、「Safari」の任意のインスタンスを再起動します。

マルウェアは、近年発売されたMac OS Xに搭載されているセキュリティ機能「Xprotect」を無効にします。マルウェアは、「XProtectUpdater」のデーモンをアンロードし、以下の「XProtectUpdater」に関するファイルの内容を削除して、改変します。

  • /System/Library/LaunchDaemons/com.apple.xprotectupdater.plist
  • /usr/libexec/XProtectUpdater

  対応方法

対応検索エンジン: 9.200
VSAPI OPR パターンバージョン 8.891.00
VSAPI OPR パターンリリース日 2012年4月7日

手順 1

変更された「XProtectUpdater」のファイルを修正します。「XProtectUpdater」を再インストールしてください。

手順 2

Mac OS Xを再起動します。

手順 3

最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「OSX_FLASHBCK.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか? アンケートにご協力ください