OSX_SLORDU.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、AppleのOS Xを改ざんするよう設計されています。マルウェアは、キー入力操作情報（Overview内です）のためファイルを作成し、感染コンピュータから情報を収集します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• /Library/Logs/clipboardd
• $HOME/Library/LaunchAgents/clipboardd

マルウェアは、以下のファイルを作成します。

• $HOME/.fontset/pxupdate.ini
• $HOME/.fontset/chkdiska.dat
• $HOME/.fontset/chkdiskc.dat

マルウェアは、以下のフォルダを作成します。

• $HOME/.fontset
• $HOME/Library/Logs/BackupData

マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したマルウェア）を終了し、侵入したコンピュータ内で作成した自身のコピーの方を実行します。

自動実行方法

マルウェアは、以下のファイルを作成します。

• /Library/LaunchAgents/com.apple.service.clipboardd.plist
• $HOME/Library/LaunchAgents/com.apple.service.clipboardd.plist

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Upload a file to the C&C server
• Download a file
• Start a remote shell
• Enumerate the contents of a directory
• Delete a file
• Uninstall itself
• Capture screenshot
• Get the following information:
  • OS name
  • OS version
  • Host name
  • User name
  • Home directory
  • Contents of the /Applications folder
• Update configuration file

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.110.38:8000

作成活動

マルウェアは、以下のファイルを作成します。このファイルは、キー入力操作情報を収集するために利用されます。

• $HOME/Library/Logs/BackupData/{year}{month}{day}_{hour}{minute}_{second}_keys.log

情報漏えい

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

その他

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアが実行するコマンドは、以下のとおりです。

• C&Cサーバへファイルのアップロード
• ファイルのダウンロード
• リモートシェルの開始
• ディレクトリの内容の列挙
• ファイルの削除
• 自身のアンインストール
• スクリーンショットの取得
• 以下の情報の取得
  • オペレーションシステム（OS）名（Tech Details内です）
  • OSのバージョン
  • ホスト名
  • ユーザ名
  • ホームディレクトリ
  • "/Application"フォルダの内容
• 環境設定ファイルの更新版