蘋果電腦 MacOS 遭惡意軟件針對，監(jiān)控通信流量又很難發(fā)現(xiàn)

本文作者：謝幺

2017-04-30 11:50

導(dǎo)語：當(dāng)蘋果電腦越來越大眾化，安全問題也會越來越多。

我身邊絕大部分的蘋果 Mac 電腦使用者都沒安裝安全軟件，因為他們覺得沒必要。然而，Mac 電腦完全不需要擔(dān)心惡意軟件？顯然不是。

最近，國外一個惡意軟件研究團隊又發(fā)現(xiàn)了一種新型的，常規(guī)方法難以檢測到的 Mac 惡意軟件。根據(jù)研究結(jié)果，該惡意軟件通吃所有版本的 Mac OS X。

蘋果電腦 MacOS 遭惡意軟件針對，監(jiān)控通信流量又很難發(fā)現(xiàn)

該惡意軟件有個不錯的名字叫 DOK，可對于 MacOS 用戶來說一點也不 OK，因為它是第一個針對 MacOS 用戶的大規(guī)模惡意軟件。

據(jù)雷鋒網(wǎng)了解，它主要通過電子郵件釣魚來傳播。用戶中招之后，DOK 惡意軟件會獲取計算機的管理權(quán)限，并安裝一個新的根證書，然后完全截獲受害者的所有網(wǎng)絡(luò)流量，包括 SSL 加密流量。

DOK 惡意軟件如何工作？

首先，DOK 惡意軟件通過一封釣魚郵件引誘受害者運行一個 ZIP 壓縮包里的惡意程序。

Mac 用戶都知道，蘋果電腦有一項名叫 Gatekeeper 的安全技術(shù)，可以保證用戶安裝擁有開發(fā)者簽名的應(yīng)用，防止一些外來的惡意軟件。

蘋果電腦 MacOS 遭惡意軟件針對，監(jiān)控通信流量又很難發(fā)現(xiàn)

▲ 蘋果電腦安全設(shè)置界面

然而在 DOK 惡意軟件的面前并未起到作用，因為 DOK 的作者不知從哪搞到了一個真實有效的證書簽名，直接繞過蘋果的 Gatekeeper 安全防護功能。

一旦被安裝，DOK 惡意軟件將自動復(fù)制到/用戶/共享文件夾，然后將自己添加到開機啟動項中，每次電腦重啟它都會重新運行。

最關(guān)鍵的一步到了，惡意軟件會顯示一個消息窗口，開始賊喊捉賊。它偽裝成系統(tǒng)自帶的升級提示，聲稱在電腦發(fā)現(xiàn)了一個安全問題，建議安裝更新以消除危險，然后虛情假意地引導(dǎo)用戶輸入賬號密碼。

蘋果電腦 MacOS 遭惡意軟件針對，監(jiān)控通信流量又很難發(fā)現(xiàn)

▲ 以假亂真的升級界面

一旦用戶安裝了所謂的安全更新，惡意軟件就會獲得管理員權(quán)限，并控制受害者系統(tǒng)的網(wǎng)絡(luò)設(shè)置，將電腦的所有對外流量指向攻擊者的惡意代理服務(wù)器。

蘋果電腦 MacOS 遭惡意軟件針對，監(jiān)控通信流量又很難發(fā)現(xiàn)

▲ 蘋果電腦網(wǎng)絡(luò)代理界面

完成這一操作之后，DOK 惡意軟件會安裝一個新的根證書，用于攔截受害者的流量。受害者的所有網(wǎng)頁瀏覽、通訊等等對外的網(wǎng)絡(luò)流量都會經(jīng)過攻擊者的服務(wù)器，所有信息一覽無余。

最后，DOK 還會執(zhí)行自毀程序，把自己刪掉，但是所有代理設(shè)置已經(jīng)完成，他將持續(xù)監(jiān)控受害者。最后這一步很重要，根據(jù)調(diào)查，目前尚未發(fā)現(xiàn)一款殺毒軟件針對 DOK 惡意軟件進行了檢測和處理機制。而 DOK OSX 惡意軟件一旦修改完代理設(shè)置就自毀了，之后就更難發(fā)現(xiàn)。