Предупреждение о безопасности, опубликованное сегодня утром антивирусным вендором Intego, сообщает об обнаружении новой троянской программы, которая распространяется в пиратских копиях iWork ’09, циркулирующих на нескольких торрент-сайтах.
Троянская программа, которую Intego классифицировал как «серьезный» риск и назвал OSX.Trojan.iServices.A, позволяет злоумышленнику подключаться к зараженной машине и выполнять различные функции, а также загружать дополнительное программное обеспечение на машину.
Это программное обеспечение устанавливается как элемент автозагрузки (в /System/Library/StartupItems/iWorkServices, месте, обычно зарезервированном для элементов автозагрузки Apple), где оно имеет права на чтение-запись-выполнение для root. Вредоносное программное обеспечение подключается к удаленному серверу через Интернет; это означает, что злоумышленник будет уведомлен о том, что этот троян установлен на различных Mac, и сможет подключаться к ним и удаленно выполнять различные действия. Троянская программа также может загружать дополнительные компоненты на зараженный Mac.
По данным Intego, на утро сегодняшнего дня (6:00 утра по восточному времени) пакет был загружен более чем 20 000 пользователями, а в обновлении к записи, опубликованной в блоге Intego Mac Security Blog, отмечается, что троянская программа теперь активно загружает новый код на зараженные машины и использует их для проведения атак типа «отказ в обслуживании» на определенные веб-сайты.
Обновление: Несмотря на значительный общественный резонанс, связанный с этим инцидентом сегодня, зараженный пакет iWork остается активным в торрент-сообществе. В свете этой продолжающейся активности мы переместили этот отчет со страницы 2 на нашу главную страницу и предоставляем инструкции по деактивации и удалению троянской программы с зараженных систем.
1) (открыть Terminal.app)
2) sudo su (ввести пароль)
3) rm -r /System/Library/StartupItems/iWorkServices
4) rm /private/tmp/.iWorkServices
5) rm /usr/bin/iWorkServices
6) rm -r /Library/Receipts/iWorkServices.pkg
7) killall -9 iWorkServices
OSX.Trojan.iServices.A, по-видимому, является первым значительным трояном для OS X, вышедшим за пределы стадии демонстрации концепции или розыгрыша и перешедшим к поистине злонамеренным действиям.
Обновление 2: MacScan выпустил бесплатную утилиту для удаления троянской программы с зараженных систем.
