返回新闻列表

新型后门程序被证实是针对Mac用户的一种高级可持续性威胁

        最近新发现的Flashfake木马感染了大量Mac计算机,其组成的僵尸网络规模超过70万台计算机。可以说是Mac OS X环境下漏洞被利用最成功的一次。但是,这款恶意软件并不是孤军作战的。卡巴斯基实验室的研究人员最近还发现了另一种针对Apple计算机进行攻击的恶意程序,并最终确认这种恶意程序为一种高级可持续性威胁。同Flashfake不同,最新发现的恶意软件为Backdoor.OSX.SabPub.a。该恶意软件充分展现了网络罪犯是如何完全控制包含漏洞的Apple计算机的。

        最新的后门程序于2012年4月初被发现。同Flashfake一样,该后门程序同样会利用Java 虚拟机的漏洞进行感染。感染该恶意软件的计算机数量相对较少,表明该后门程序主要用于针对性攻击。该恶意软件在受感染系统上激活后,会自动连接远程网站等待指令。该后门程序的命令控制服务器位于美国,并且使用一种免费的动态DNS服务来处理受感染计算机发送的请求。

        后续的事件表明SabPub的最初理论其实是某次针对性攻击的一部分。卡巴斯基实验室的专家设置了一个假冒的受感染计算机,并利用该后门程序对其进行感染。4月15日,卡巴斯基实验室专家发现了某些不寻常的行为。网络攻击者获取到该受感染计算机的控制权限,并且开始对该计算机进行分析。他们发送命令,浏览了该计算机的root内容和Home Folder内容,甚至下载了一些储存在系统上的假冒文档。这些分析过程很可能是手动执行的,而没有采用自动系统,所以使用的不可能是常见的传播较广的恶意软件。正是基于这些事实,我们可以判定该后门程序是一种正在被使用的高级可持续性威胁。

        对此后门程序分析过程中,我们又发现该恶意软件的感染途径同样表明其主要用户针对性攻击。卡巴斯基实验室的研究人员发现六个Microsoft Word文档,其中均包含漏洞利用程序。其中有两个文档会释放SabPub恶意代码。如果在包含系统漏洞的计算机上运行其它四个文档,同样会感染另外一种针对Mac系统的恶意软件。此外,SabPub和另一起名为LuckyCat的基于Windows计算机的针对性攻击关系密切,表明这两次网络攻击行为的源头是一致的。

        卡巴斯基实验室的首席安全专家Alexander Gostev认为:“SabPub后门程序的出现再次表明没有一款软件环境是不包含安全漏洞的。虽然Mac OS X系统下的恶意软件数量相对较少,但并不意味着该平台的保护措施更到位。最近的Flashfake和SabPub事件表明存储在未加保护的Mac计算机上的用户数据同样面临风险。造成这一现象的原因可能是网络罪犯意识到Mac计算机的市场份额有所上升,也可能他们是受人雇佣,专门针对Apple计算机发动攻击。”

        目前,卡巴斯基Mac反病毒软件2011已经能够检测和清除Backdoor.OSX.SabPub.a后门程序以及相关漏洞利用程序。更多关于该后门程序的详情,请浏览卡巴斯基实验室发布的相关研究报告和分析文章,地址:Securelist.com