【惡意挖礦】新型態的門羅幣惡意挖礦程式入侵蘋果電腦Mac,剖析木馬程式運作原理

0 31

蘋果論壇上,資訊安全公司Malwarebytes Labs的研究開發人員指出,一個新型態的惡意挖礦程式針對蘋果電腦Mac設計,迫使用戶在無意中運行著挖礦軟體挖取門羅幣(Monero),並使此惡意木馬程式的編程駭客獲利。

 

訊安全公司Malwarebytes Labs的研究開發人員在5/22的一則部落格文章中指出,一個看似無害的Mac程式「mshelper,卻佔據了大量的CPU算力。

發現此事的用戶們表示,檢查活動監視器的CPU部分,發現mshelper」不斷以高佔額的狀態出現

當他們安裝安全軟體BitDefender後,注意到BitDefender不斷回傳mshelper正試圖反刪除它的通知。

而嘗試安裝Malwarebytes後,證明並無法解決此問題。

不過,也有用戶回報,安裝Etrecheck有用,此軟體立即辨識出惡意軟體,並允許用戶直接刪除惡意軟體

mshelper遭駭客利用

實際上,Mac軟體「mshelper」本身是無害的,但再加上其他惡意程式協作,這在被入侵的電腦上就是完全另一回事了。

當電腦被入侵後,不知名的駭客利用mshelper軟體來挖門羅幣

資安公司MalwarebytesMac and obile部門主任Thomas Reed寫道,在其他惡意程式的協作之下,mshelper佔據大量的CPU算力,但並不會危害到Mac本身

他表示:

被入侵的Mac用戶會發現他們的散熱扇開始瘋狂的運轉,

CPU受到mshelper佔據,就如同卡比獸遇到食物一般的被啃蝕著。

很幸運的是,mshelper並不複雜且非常容易移除。

同時也說:

此惡意軟體在蘋果電腦的網路論壇當中已廣為人知,

mshelper已成為眾矢之的。

更深入的研究發現,除了mshelper之外還有其他的令人起疑的程式也被植入了。

組合式攻擊:還有其他可疑程序

Malwarebytes Labs表示,還有其他可疑程序可能在同時也被植入了,這些程序讓惡意軟體能夠找到檔案副本。

Reed表示,此組合式的惡意木馬程式由三個部分所組成:

  1.  the dropper,一個專門下載這些惡意軟體的程式。
  2.  the launcher,會安裝並執行這些惡意軟體。
  3.  the miner,基於XMRig的開源挖礦軟體。

下載是錯誤的開端

基於Mac的「the dropper」,多以誘騙用戶打開檔案、從盜版網站下載、假的更新程式或由假的Adobe Flash Player安裝程序進行。

實際上,單就the dropper而言,它還稱不上惡意挖礦,Malwarebytes Labs也認為它只是一個簡單的惡意軟件。

目前,Malwarebytes仍未發現the dropper實際上是哪個軟體。

剖析負責安裝執行的pplauncer

The dropper會同時下載一個launcher,研究人員發現一個名為pplauncher」的檔案,做為「啟動守護進程」(launch daemon),這意味著the dropper可能有root權限,也就代表它可能可以對電腦上的所有檔案進行讀、寫、執行等動作。

另一方面,pplauncher會安裝miner,因此駭客可以藉由這三組軟體入侵電腦挖礦

值得注意的是,pplauncer是以Golang這種程式語言針對macOS編寫,Reed表示:

這是個很罕見的選項。

因為,使用Golang通常隱含了這位開發者不特別熟悉Mac的作業系統的意思。

之所以如此評論是因為,pplauncher的目的只是安裝並執行礦工程序,這個目的是簡單的。

但若使用Golang則需要一定的成本,因此才會出現一個二進製檔案內含超過23,000個任務的情況,這與目的不相應,或許也代表編程者並為深入了解Mac設備的相關知識。

mshelper外觀與合法挖礦軟體相似

最後,Reed評論了miner,也就是被駭客利用的mshelper。

mshelper程序有著舊版本的XMRig開源挖礦軟體的外觀,XMRig開源挖礦軟體是合法的,可以用Mac上的Homebrew進行部署

若從創建時間來看就會發現差異點,XMRig是在201857日創建的,而mshelper則是在2018326日創建的。(都是clang 9.0.0.)

Malwarebytes Labs總結道,mshelper是個舊版的XMRig副本,被駭客用於惡意挖礦來獲利。

而pplauncher提供命令行,包含參數來指定用戶。

惡意挖礦軟件並不危險,或許很煩人,但卻不複雜,是可以輕易移除的。

Reed表示:

近來用Mac來挖礦的人有增長的趨勢。

這些惡意挖礦程式,如同在Mac系統上,Windows系統上也有增加的趨勢。

有些惡意程式跟著挖礦程式進入了電腦裡面,

我寧願被惡意挖礦軟體入侵也不想被其他惡意程式入侵。

但這也不會讓惡意挖礦軟體變成是件好事。

目前,mshelper可能導致風扇損壞或堵住通風口導致過熱。

注意其他惡意挖礦軟體!

提醒各位讀者,除了mshelper這款針對macOS的惡意挖礦軟體以外,還有Creative Update、CpuMeaner和Pwnet也是針對macOS。

另外,現已出現新的惡意軟體:OSX.ppminer

?相關報導?

【動區專題】深入淺出的挖礦與礦機發展總整理

【韓國現代集團|HDAC】現代汽車(Hyundai)相關的「HDAC礦池」遭到駭客攻擊

【獨立觀點】案例分析「去中心化交易平台,能否杜絕駭客攻擊?」

 


 

《BlockTempo動區動趨》LINE官方號開通囉~立即加入獲得第一手區塊鏈、加密貨幣新聞報導!

加入好友

 

文章引用來源

留言
Loading...