Свежий троян для MacOS

[@malaka]

иэх. накликали беду.

[@Skeeter]

Мне почему-то кажется что все трояны/вирусы для MacOS
пишет небезизвестная компания на букву М.

[@Elijah]

Ну как раз логику авторов трояна понять легко, и не обязательно искать каких-то врагов операционки в принципе.

У маков основной рынок США, основной тип подключения — широкополосный, антивирусы используются крайне мало (достаточно вспомнить недавний случай с рекомендацией поставить антивирус и затем удалением этого поста с сайта эпплов). Троян, судя по всему, заточен именно под создание распределенной сети для выполнения неких задач.

Единственное, чего я не могу понять, так это отсутствие у него функции распространения. Впрочем, я мало знаком с устройством макОС, может там подобное реализовать — проблема?

[@ukku]

там так же как и в всех никсах нельзя дописаться в исполняемый файл ( вроди =\ )…

[@maxcom]

для установки iWork нужны права администратора, а ему все можно

[@ukku]

я отвечал на то, почему нельзя сделать функцию распространения :)

[@pieceofsummer]

Это почему нельзя? Что, исполняемый файл — и не файл уже?

[@Marsikus]

>> (достаточно вспомнить недавний случай с рекомендацией поставить антивирус и затем удалением этого поста с сайта эпплов)
Вот так вот Apple любит своих пользователей. Они на Apple богу молятся, а Apple их вот так любит, обидно за людей :(

[@almaz]

паранойя индастриалс пишет, пока все спят и видят сны ;) — youtube.com/watch?v=q21f0cffGjk&fmt=18

[@dmach]

А все вирусы\трояны под Windows пишет компания на букву A?

[@Goodkat]

на букву K :)

[@youROCK]

Дело в том, что и под Linux и под любую другую операционную систему будут работать вирусы, если вы будете устанавливать непроверенные приложения под root'ом :). Другой вопрос, что вероятность их проникновения, когда вы не вводите пароль рута, из-за особенностей архитектуры UNIX намного меньше, что и позволяет утверждать о фактическом отсутствии вирусов под Mac, Linux, FreeBSD и другие…

[@pieceofsummer]

Вероятность проникновения вируса в винду, если не сидеть под админом, не намного выше. Проблема-то как раз в том, что чуть менее, чем все пользователи винды так и сидят под «рутом».

[@odessky]

Потому что софт для винды написан через анус и для его работы часто нужен админ

[@pieceofsummer]

Скорее наоборот — сидение под админом по дефолту разбаловало быдлокодеров.

[@medvoodoo]

Если отсутствует нормальный доступ до библиотек не из под администратора — разбалованность быдлокодера,
если для установки по необходим выход из под пользователя и перелогинивание под администратором — это разбалованность пользователей,
если отсутствует из под админа доступ до нулевого кольца, а вирусы забираются — это разбалованность вирусов.
Вы меня не убедите, что в проблеме распределения прав через ж виноваты быдлокодеры невиндовс :)

[@pieceofsummer]

А я и не собираюсь никого ни в чем переубеждать.

Я и аргументации-то не услышал, чтобы хотя бы было о чем спорить.

[@GHS]

Кстати, написать зловред под *никс в принципе не так уж и сложно. Можно взять исходник любой программы, которая требует права рута, и дописать туда свой код(мало кто читает сорсы перед компиляцией =)). Проблема будет только в распространении, многие качают исходники программ из официальных источников.

[@ukku]

кстати самое крутое что есть в iWork'9 — полноэкранный режим работы.
и кстати отсюда вывод — с торрентов софт для никсов нужно качать с осторожностью и читая комменты, там часто пишут если найден вирус

[@ukku]

Да и кстати, теперь iWorks не требует серийника, и можно тупо копировать коробочную версию. Они решили что потеряют меньше чем от потерь на восстановление потерянных серийных номеров

[@Elijah]

При установке пакета программ требуется ввод пароля root'а. Троян прописывается в самом начале установки в автозагрузку (System/Library/StartupItems/iWorkServices) с правами рута.

[@cooler_bbnation]

Пока это только рассказы, где живые люди которые это видели?
Просмотрел сейчас iWork09Trial.dmg на наличие этого вируса, мой экземпляр чист

[@entze]

Про руткиты слышали? Не всегда можно видеть у себя заразу…

[@preprocessor]

В принципе тут все просто. Есть популярная программа с инсталятором, который требует рутовый пароль. Мы всовываем в этот инсталятор что душе угодно и распространяем как оригинальную программу. Как бэ это вроде и не совсем дырка, во-всяком случае все в рамках юникс парадигмы прав.

Здесь интересен только способ распространения, странно что он впервые был задействован, во всяком случае так масштабно.

[@Goodkat]

Обычно пользователь без прав рута может поставить себе в домашний каталог любую программу (я себе так эклипс устанавливал) просто распаковав её из архива (некоторые требующие установки программы выдают ошибки и отказываются устанавливаться).

В принципе, вирусу рутовские права и не нужны — он может запускаться из-под пользователя, он может прописать себя в пользовательский автозапуск, у него есть полный доступ к адресной книге, данным браузера и прочим пользовательским данным. Получается, что в среднестатической системе вирусам мало препятствий. Поправьте меня, если я не прав. Не знаю только, как в никсах с файрволами, есть ли что-то (в популярных дистрибутивах линукса, например) типа встроенного в виндовс файрфолла, который спрашивает для каждой незнакомой программы, разрешать ли ей выход в сеть. Если такой файрвол по умолчанию не включен, то вирусу открыт доступ и в сеть, спам рассылать, например, или досить кого-нибудь.

Имхо, дело только за распространённостью и уровнем технических знаний пользователя. Как только каждая домохозяйка будет иметь у себя на компе никсы (и мочь их самостоятельно установить и настроить), жди эпидемий вирусов и троянов под них — скачайте этот новый скринсейвер под ваш Ubuntu(для установки введите пароль), или новую игрушку (распакуй и запускай, если не запускается, то сделай chmod :) и т.п.

[@Goodkat]

под windows тоже есть способ отменить выполнение файлов, но это не спасает многие фирмы от вируса из нового скринсейвера

да и в случае из статьи этот метод не поможет, если пользователь введёт рутовский пароль во время установки

[@Marsikus]

>>> это не спасает многие фирмы от вируса из нового скринсейвера
Страсть офисных работников к «красивым» скринсейверам это ж вообще тема для юмора, и что они находят там? :)

[@Valera19]

Жадность фраера погубит

[@ska_zochnik]

а как проверить?
ааааа… как лечится? помогите, что делать?

антивирусов для Maс нет(

[@mystafa]

Выбирайте: www.macupdate.com/search.php?keywords=antivirus&starget=google

[@ilmarinen]

Лечить вот так: community.livejournal.com/ru_mac/9783648.html

Проверить заразу
1. (открыть Terminal.app)
2. sudo su (ввести пароль)
3. ls -la /System/Library/StartupItems/iWorkServices

Если говорит «No such file or directory». Трояна нет.

Как удалить?

1. (открыть Terminal.app)
2. sudo su (ввести пароль)
3. rm -r /System/Library/StartupItems/iWorkServices
4. rm /private/tmp/.iWorkServices
5. rm /usr/bin/iWorkServices
6. rm -r /Library/Receipts/iWorkServices.pkg
7. killall -9 iWorkServices

Удачи
ps: В терминале нужно набирать только команды, без цифр.

[@ska_zochnik]

а за что минусуете то?..

[@Wadime]

Что-то у меня ссылка не работает, расскажите вкратце про симптомы

[@Elijah]

PHP cкрипт, работающий под рутом, грузящий процессор на 100%. Обычно их несколько и основная их работа — DoS атака на какой-то сайт.

Как проверить и вылечить — чуть выше уже написали.

[@Elijah]

Да, а еще проще — проверять перед установкой содержит ли iWork '09 такой компонент как iWorkServices.pkg (это собственно и есть довесок с трояном).

[@Wadime]

Ага, спасибо :)
Как раз качал новый iWork с торрента в день релиза, надо бы провериться.

[@burzum]

Может быть, кто-то может выложить файл iWorkServices.pkg?

[@duhovnik]

все макинтошники в ужасе его удалили))
я тоже макинтошник

Вывод: вирус под мак — это уже раритет

[@burzum]

Что же это они так вдруг разом удалили? Сомнительно как-то всё это…

[@duhovnik]

Ну что значит сомнительно…
Такой миф был про вирусы (конечно все знали что вирусы под мак могут быть, но не верили), а тут так развенчан))) Многие, я уверен, из-за брезгливости его снесли («фу мерзость, кыш от моего мака бякость»)

[@ureason]

Дело в следующем: это — не вирус.
Это так, можно сказать, инициатива пользователя.
Что-то откуда-то берётся на не совсем законных основаниях и после этого запускается.
При этом не размножается.
Вот если кто-нибудь где-то в торрентах выложит универсальный патч Бармина и назовёт это решением проблем, то это будет что-то подобное.
Вирусов на Маке по-прежнему нет.

[@ureason]

Список ни о чём. Гугл при поиске этих названий выдаёт всего результатов по 30. Притом иногда в результатах оказывается хабрахабр :) Описаний, в чём заключается их деятельность, найти вообще не удалось. Видимо, опытные экземпляры хранятся у авторов.
В контексте новейшей истории с выжиганиями микросхем биоса и разгулом msblast, когда винды заражались даже без действий пользователя, совершенно не важно, где раньше появился вирус.

[@ureason]

Всё важно и вы пока ничего не доказали.
Вот я скачал по вашей ссылке что-то Virus.Mac.Anti.a
Распаковываю архив. Внутри бинарный файл размером 4 килобайта.
Пробую сделать выполняемым, запускаю из терминала:
Macintosh:~/desktop $ ./Virus.Mac.Anti.a
-bash: ./Virus.Mac.Anti.a: cannot execute binary file
Что дальше?

[@ureason]

Virus.Mac.Init9403.a — то же самое.
Эти бинарники вообще, похоже, не могут быть выполнены нынешним маком (Не Перфомой под какой-нибудь забытой Mac OS 7).

Машина Power PC, Mac OS 10.4.11 — не самый старый, не самый новый компьютер и система.

Спокойно запускаю эти «вирусы», потому что с текущими правами напартачить в системе нельзя, будь там что угодно — максимум сотрёт всё в домашней директории у специально заведенного пользователя.

[@notxcain]

Уфф! Пронесло! Anyway, спасибо за информацию!

[@Marsikus]

Вот нехрен лазить сразу за пиратками. Давно выработал привычку — лезть на офсайт интересующего ПО и качать триалку, обычно этого вполне достаточно чтобы заценить программу, и даже сделать в ней то что хотел. А потом она может и не пригодится больше.