OSX_MOKES.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

このマルウェアは、スクリーンショット、音声、キー入力操作情報などの情報を窃取する機能を備えています。また、コマンドを実行し、暗号化されたデータを利用して通信します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、以下のファイルを作成します。

• /Users/{Username}/Library/LaunchAgents/{Dropped Copy filename}.plist

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Record Audio every 30 seconds
• Monitor Removable Drives
• Take screenshots and images from installed camera
• Search and Download MS Office documents (doc, docx, xls, xlsx)

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}.{BLOCKED}.241.141/v1
• http://{BLOCKED}ck12and67.com/v1
• http://{BLOCKED}rcameand33212.com

作成活動

マルウェアは、以下のファイルを作成します。このファイルは、収集した情報を保存するために利用されます。

• $TMPDIR/ss0-{Date}-{Time}-{ms}.sst (Captured Screenshots)
• $TMPDIR/aa0-{Date}-{Time}-{ms}.aat (Captured Audio, WAV)
• $TMPDIR/kk0-{Date}-{Time}-{ms}.kkt (Keylogs)
• $TMPDIR/dd0-{Date}-{Time}-{ms}.ddt (Arbitrary Data)

その他

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• 30秒毎の音声の記録
• リムーバルドライブの監視
• インストールされたカメラからスクリーンショットや画像を取得
• Microsoft Office 文書の検索およびダウンロード(doc, docx, xls, xlsx)

マルウェアは、以下のファイルを作成します。このファイルは、収集した情報を保存するために利用されます。

• $TMPDIR/ss0-{Date}-{Time}-{ms}.sst (取得されたスクリーンショット)
• $TMPDIR/aa0-{Date}-{Time}-{ms}.aat (取得された 音声および WAV)
• $TMPDIR/kk0-{Date}-{Time}-{ms}.kkt (キー入力操作情報の記録)
• $TMPDIR/dd0-{Date}-{Time}-{ms}.ddt (任意のデータ)

マルウェアは、以下の順序で最初に利用可能なファイルパスに自身のコピーを作成します。

$HOME/Library/App Store/storeuserd
$HOME/Library/com.apple.spotlight/SpotlightHelper
$HOME/Library/Dock/com.apple.dock.cache
$HOME/Library/Skype/SkypeHelper
$HOME/Library/Dropbox/DropboxCache
$HOME/Library/Google/Chrome/nacld
$HOME/Library/Firefox/Profiles/profiled

マルウェアは、以下のユーザエージェントを利用します。

• Mozilla/5.0 (Macintosh; Intel Mac OS X 10_9_3) AppleWebKit/537.75.14 (KHTML, like Gecko) Version/7.0.3 Safari/7046A194A

マルウェアは、AES暗号「AES-256-CBC」を利用してコマンド＆コントロール（C&C）サーバ と通信して自身の活動を隠ぺいします。