OSX_OLYX.EVL
Backdoor:MacOS_X/Olyx.B (Microsoft)
Mac OS X
マルウェアタイプ:
バックドア型
破壊活動の有無:
なし
暗号化:
なし
感染報告の有無 :
はい
概要
マルウェアは、親チベット派の主張を題材として利用したメールによるキャンペーン活動として、コンピュータに侵入します。マルウェアは、ユーザの興味をひきつける件名や本文を利用し、ユーザにメールの開封を促します。メールが開封されると、感染コンピュータ上でマルウェアのダウンロードと実行が行われます。
マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。
マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。
詳細
侵入方法
マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。
- JAVA_RHINO.AE
バックドア活動
マルウェアは、不正リモートユーザからの以下のコマンドを実行します。
- Create or delete folders
- Downlad and execute file
- List drives and files
- Manipulate files
- Open an instance of bash shell where a remote malicious user may execute commands
- Search folders
- Upload files to its server
マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。
- avira.{BLOCKED}t.com
その他
マルウェアが実行するコマンドは、以下のとおりです。
- フォルダの作成または削除
- ファイルのダウンロードおよび実行
- ドライブ名とファイル名の表示
- ファイルの操作
- 不正リモートユーザがコマンドを実行するBashシェルのインスタンスの起動
- フォルダの検索
- コマンド＆コントロール（C&C）サーバへのファイルのアップロード
マルウェアは、以下のバックドアコンポーネントを作成します。
- /Library/Audio/Plug-Ins/AudioServer
マルウェアは、Mac OS X起動時に実行されるよう、以下のプロパティ・リスト・ファイルを作成します。
- /Library/LaunchAgents/com.apple.DockActions.plist
マルウェアは、自身の感染を通知するため、以下の情報をコマンド＆コントロール（C&C）サーバに送信します。
- ホスト名
- IPアドレス
対応方法
「OSX_OLYX.EVL」 を作成またはダウンロードする不正なファイルを削除します。
手順 2
マルウェアのプロセスを終了します。マルウェアのプロセスを終了するために、「ターミナル」ウインドウを開き、以下の作業を行なってください。
- 「ターミナル」ウインドウに以下のコマンドを入力してください。
ps -A
- 「ターミナル」ウインドウ内に以下と同じような文字列を検索してください。そして＜数値＞を確認し、メモ等をとってください。この数値は、マルウェアのプロセスID（PID）です。
＜数値＞ ?? Ss ＜時間＞
/Library/Audio/Plug-Ins/AudioServer - 以下のコマンドをコマンドを入力してください。
kill ＜確認したマルウェアのPID＞
手順 3
マルウェアが作成したファイルを削除します。この自動実行ファイルを削除するためには、「ターミナル」ウインドウを開き、以下のコマンドを入力してください。
rm "/Library/LaunchAgents/com.apple.DockActions.plist"
rm "/Library/Audio/Plug-Ins/AudioServer"
手順 4
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「OSX_IMULER.C」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
註：
- 「ターミナル」ウインドウを開く場合、[Finder]上で[アプリケーション]-[ユーティリティ]を選択し、[ターミナル]をダブルクリックしてください。
- 「ターミナル」ウインドウを閉じる場合、「Command キー＋Q」を同時に押し、「ターミナル」を閉じます。
ご利用はいかがでしたか？ アンケートにご協力ください