開放世界RPG《原神》發售日決定&開放事前登錄   「試玩同樂會」又來囉!Nintendo Switch上免費試玩《ポッ拳 POKKÉN TOURNAMENT DX》!   本應該已經準備上架的超級話題大作《電馭叛客2077》再次發表延期消息   羅技 新版「G512 機械式遊戲鍵盤」登場!   輕量‧耐用‧靈敏度高的電競滑鼠 ASUS「TUF Gaming M3」於日本發售!   PlayStation®4主機的《決勝時刻:黑色行動冷戰》Alpha測試搶先體驗將於9月19日至9月21日展開   朗報!《LovePlus EVERY》將追加「彼女Plus Lite」機能   「乃木坂46×荒野行動」舉行合作活動!會推出秋元康製作的新曲並在遊戲內獻唱! 

Palo Alto Networks在蘋果OS X平台發現 首個全功能勒索軟件KeRanger

科技

網誌節錄如下:

3月4日,用於蘋果作業系統Mac  OS X用戶端的BitTorrent 用戶端安裝程式在發佈幾個小時後,我們偵測到其已被勒索軟件感染,並將其命名為 「KeRanger」。之前唯一為大眾所熟知的針對OS X的勒索軟件為「FileCoder」由卡巴斯基實驗室於2014年發現,由於在發現的時候FileCoder尚不完整,所以我們認為KeRanger是在OS X平台上被發現的首個全功能勒索軟件。

3月4日早上,攻擊者使用KeRanger感染了兩個Transmission 2.90版本的安裝文件,當我們發現這個問題時,受到感染的DMG檔依舊可從開源專案Transmission的網址(https://download.transmissionbt.com/files/Transmission-2.90.dmg)上進行下載。很有可能Transmission 官網已被攻陷,上面的檔案已被重新編譯的惡意軟件所取代,但我們無法確認這次感染是如何發生的。

由於KeRanger應用簽署了一個有效的Mac 應用程式開發證書,因此可以繞過蘋果的GateKeeper 防護。一旦用戶安裝了該被感染應用程式,內嵌的可執行檔就會在系統上運行,三天後,KeRanger就會通過Tor匿名網絡與命令與控制(C2)伺服器連接,之後惡意軟件就開始對系統上某些特定的文檔和資料檔案進行加密。加密完成後,KeRanger就會要求受害者向一指定的位址支付一個比特幣(約400美元),以贖回文件。另外,有跡象表明KeRanger仍處於活躍開發中,似乎它同時也試圖對系統備份檔案Time Machine進行加密,以阻止受害者恢復其備份資料。

3月4日當天,Palo Alto Networks便向 Transmission 專案組以及蘋果公司報告了該勒索軟件問題,蘋果公司因此廢除了這個有爭議的證書,並且更新了其XProtect 防病毒簽名,Transmission Project已將該惡意軟件安裝程式從其網站上移除。同時,Palo Alto Networks也更新了其URL 過濾和威脅防禦功能,以阻止KeRanger對系統的影響。

如何實現自我保護

從太平洋標準時間2016年3月4日上午11時至2016年3月5日下午7時,這個時段裡直接從官網上下載Transmission 安裝程式的使用者,很可能已經受到了KeRanger的感染。如果用戶是之前下載了Transmission安裝程式或者是從第三方網站下載,我們也建議用戶進行如下安全檢查操作,但舊版的Transmission目前為止還未出現受到感染的跡象。

我們建議用戶執行以下操作,以確定是否已受KeRanger感染並將其移除,以免文件被用於勒索而被控制:

1. 使用Terminal 或者Finder,檢查/Applications/Transmission.app/Contents/Resources/路徑下或/Volumes/Transmission/Transmission.app/Contents/Resources/是否有檔General.rtf存在。如果有,則表明Transmission應用已被感染,我們建議將該版本Transmission刪除。

2. 借助預先安裝在OS X裡的 Activity Monitor 功能,檢查是否有一個名為「kernel_service」的程式在運行。如果是,再次檢查該程式,選擇「Open Files and Ports」 檢查是否有這樣一個檔案名 「/Users/<username>/Library/kernel_service」。如果有,那麼這個程式就是KeRanger的主程式,我們建議點擊 「Quit -> Force Quit」來終止這個程式。

3. 經過以上檢查後,我們建議使用者檢查一下,在路徑~/Library directory中是否有檔案名為「.kernel_pid」,「.kernel_time」, 「.kernel_complete」 和 「kernel_service」的檔存在,如果有,請刪除。

unnamed

鑒於蘋果公司已經撤銷了這個有爭議的證書,並且更新了XProtect 簽名,當有用戶試圖打開一個已經證明為受感染的Transmission版本時,就會出現一個警告框上面寫著「Transmission 應用將損壞你的電腦,請將其刪除至回收站」,或者「Transmission檔無法打開,請彈出此硬碟映像」。一旦出現該警告提示,我們建議您按照蘋果公司的建議進行操作,以避免被感染。

unnamed

有關KeRanger 勒索軟件更多細節,請閱讀有關網誌全文: http://researchcenter.paloaltonetworks.com/unit42/

Micorsoft

隨機科技新聞