トロイの木馬「Flashback」のチェック・ツール
■ このスレッドは過去ログ倉庫に格納されています
0001名称未設定
2012/04/10(火) 23:02:43.85ID:/aHwlJkE0先週、ロシアのアンチウィルス・ベンダーが「60万台を超えるMacが感染している」と報告したトロイの木馬「Flashback」の新種に関して、
あるMacプログラマーが無料の感染チェッカー・ツールをリリースした。
FlashbackはMac OSを狙ったマルウェアの一種で、2011年9月に初めて確認された。以前のFlashbackはソーシャル・エンジニアリング
を用いてユーザーを騙し感染させるものだったが、今回の新たな亜種はユーザーを一切介さず、Javaの脆弱性を突いて感染を広げる。
セキュリティ・ベンダー、Dr.Webによれば、感染しているMacの割合はおよそ2％である。
チェッカー・ツール「FlashbackChecker」を開発したプログラマー、ユアン・レオン（Juan Leon）氏によると、このツールはMac上にFlashback
マルウェアの痕跡がないかどうかを調べるものだ。これまでに発見されているFlashbackの亜種すべてをチェック可能だという。
レオン氏は、フィンランドF-SecureがWebサイト上で公開しているコマンドラインを使った感染チェック方法をGUIツール化したという。
メール・インタビューに答えたレオン氏は、「Macユーザーたちがコマンドラインと格闘していたから」このツールを作ったのだという。
使い方は単純だ。ダウンロードしたアプリを起動すると、ウィンドウには「Check for Flashback Infection」というボタンが表示される。
これをクリックすると、感染チェックが始まる。
チェックした結果が「No Signs of infection were found」（感染の兆候なし）ならば安心してほしい。万が一感染していれば、その旨の
警告が表示される。このツールはFlashbackの駆除機能は備えていないが、駆除のための方法が示される。
https://github.com/jils/FlashbackChecker/wiki
0002名称未設定
2012/04/10(火) 23:09:45.13ID:rmmqonJM00003名称未設定
2012/04/11(水) 00:35:11.20ID:kUiMJFjn00004名称未設定
2012/04/11(水) 00:38:10.37ID:SjDniNWG00005名称未設定
2012/04/11(水) 01:22:00.41ID:Hddvk8nq0「あなたは感染しています！今すぐ駆除ｿﾌﾄをDLしてください！」みたいﾀﾞｲﾔﾛｸﾞ出て、
ﾕｰｻﾞｰにｲﾝｽｺさせるの。
0006名称未設定
2012/04/11(水) 02:08:11.70ID:UJYRcq8+0ターミナル使えるような香具師が罹るわけないからなー
てか大袈裟に騒いでるだけでいないっしょ？感染者なんて
0007名称未設定
2012/04/11(水) 10:13:36.97ID:fyjTtfMVP0008名称未設定
2012/04/11(水) 10:55:13.53ID:XPUFUNMiPhttp://anago.2ch.net/test/read.cgi/mac/1325485653/
0009名称未設定
2012/04/11(水) 11:02:01.88ID:Xq4V1tzV0参考: http://www.f-secure.com/v-descs/trojan-downloader_osx_flashback_k.shtml
1. Safariのパッケージを開いて、Contents/Info.plistをなんでもいいからテキストエディタで開き、
テキスト内を"LSEnvironment "で検索
→あったら感染確定で、3へ
2 . Finderの移動メニューからフォルダへ移動を選択、~/.MacOSXと入力
→あったら感染確定で、3へ
なければ感染してない。終了。
3. 少なくともClamXavは2012年4月9日時点で確認されているすべてのFlashBackに対応している
(ソース: http://www.gossamer-threads.com/lists/clamav/users/54700?do=post_view_threaded)
ので、これをインストールしてスキャン。
0010名称未設定
2012/04/11(水) 11:04:06.06ID:Xq4V1tzV0>LSEnvironment
末尾の余白は削ってね。
0011名称未設定
2012/04/11(水) 12:26:15.71ID:Hddvk8nq00012名称未設定
2012/04/11(水) 13:40:13.57ID:WsWZFB4800013名称未設定
2012/04/11(水) 14:57:13.49ID:ZKL4yUYx0デタラメを書くな。ちゃんと元記事を当たる様に。
~/.MacOSX/environment.plistは環境変数を記述するファイルだからあっても普通
Setting environment variables for user processes
http://developer.apple.com/library/mac/#qa/qa1067/_index.html
0014名称未設定
2012/04/11(水) 19:08:58.70ID:JHJhyw/g00015名称未設定
2012/04/11(水) 19:48:17.87ID:zhxVl69j0以下のコマンドをターミナルで実行します。
defaults read /Applications/Safari.app/Contents/Info LSEnvironment
defaults read /Applications/Firefox.app/Contents/Info LSEnvironment
実行して以下のエラーメッセージが出た場合はそのＰＣは感染していません。
The domain/default pair of (/Applications/Safari.app/Contents/Info, LSEnvironment) does not exist
The domain/default pair of (/Applications/Firefox.app/Contents/Info, LSEnvironment) does not exist
第2のタイプの感染
以下のコマンドをターミナルで実行します。
defaults read ~/.MacOSX/environment DYLD_INSERT_LIBRARIES
実行して以下のようなエラーメッセージが表示されたら、そのMacは感染していません。
The domain/default pair of (/Users/joe/.MacOSX/environment, DYLD_INSERT_LIBRARIES) does not exist
0016名称未設定
2012/04/11(水) 19:49:18.81ID:zhxVl69j0以下の手順に従いFlashbackを除去しましょう。
１．第1のタイプの感染しているならば、
defaults read /Applications/%browser%.app/Contents/Info LSEnvironment
第2のタイプで感染しているならば
defaults read ~/.MacOSX/environment DYLD_INSERT_LIBRARIES
を実行。
２．1の結果から「DYLD_INSERT_LIBRARIES」の記述を探し指定されているファイルパスをメモする
３．2でメモしたファイルパスを%path_from_previous_step%に当てはめ、以下のコマンドを実行する
grep -a -o '__ldpath__[ -~]*' %path_from_previous_step%
４．結果からリストアップされたファイルパスをメモする。
５．2と4でメモしたファイルを削除する
６．第1のタイプの感染しているならば
sudo defaults delete /Applications/%browser%.app/Contents/Info LSEnvironment
sudo chmod 644 /Applications/%browser%.app/Contents/Info.plist
第2のタイプで感染しているならば
defaults delete ~/.MacOSX/environment DYLD_INSERT_LIBRARIES
launchctl unsetenv DYLD_INSERT_LIBRARIES
を実行する
ttp://veadardiary.blog29.fc2.com/blog-entry-3809.html
0017名称未設定
2012/04/11(水) 22:28:48.92ID:gmr63AK/0つまんない(>_<)
0018名称未設定
2012/04/13(金) 01:53:20.02ID:GMojiDRl0システム依存してる部分があるならあきらめるけど…
0020名称未設定
2012/04/13(金) 08:52:17.06ID:avrm49zw0現在のMacユーザは、同時にUNIXユーザでもあるから、ターミナル使うなんて当たり前ですよ。
GUIで設定できない様なものをターミナルでやるなんて日常茶飯事ですから。
0021名称未設定
2012/04/13(金) 14:10:20.02ID:mNegEjaW0当たり前てのはiMacとAirユーザーの九割がターミナル使いこなせるなら言ってもいい
実際にちゃんと理解して日常茶飯事使っているのは、多く見ても五割以下だろう
そんな難しいもんじゃないし使えた方が便利だけどな
あと>>19と>>20で言ってることが矛盾してるが？何なんだ？
0023名称未設定
2012/04/13(金) 19:02:49.76ID:aG0KkknP0「Java for OS X Lion 2012-003」とMac OS X 10.6向けの「Java for Mac OS X 10.6 アップデート8」を公開した。
このアップデートには、同社が予告していたMac OS Xを狙うマルウェア「Flashback」を検知・削除するツールのインストールが含まれる。
このアップデートにより、Flashbackの最も一般的な亜種が削除されるとしている。
また、Javaアプレットの自動実行を無効にするJavaのWebプラグインが含まれる。
Flashbackは2011年後半に出現して以降、ソーシャルメディアなどを使って感染先を広げてきたが、
2012年になってJavaの脆弱性を悪用するようになり、感染が拡大していた。
Appleは4月3日にFlashback対策を含むセキュリティアップデートを実施したが、
その翌日、ロシアのウイルス対策ソフトメーカーDoctor Webが、Flashbackが55万台以上のマシンに感染していると発表。
11日には米Symantecが感染規模は27万台に縮小したと発表した。
今回のアップデートにより、既に感染しているMacから、Flashbackの駆除が可能になる。
Appleは、JavaをインストールしているすべてのMacユーザーにアップデートの適用を勧めている。
なお、このアップデートはMac OS X 10.6より古いバージョンには対応しないため、
Symantecは古いバージョンのユーザーに対し、Javaを無効にするよう勧めている。
http://www.itmedia.co.jp/enterprise/articles/1204/13/news049.html
0024名称未設定
2012/04/13(金) 19:30:06.62ID:Wx9xGr7w00026名称未設定
2012/04/13(金) 20:23:04.12ID:Wx9xGr7w00029名称未設定
2012/04/16(月) 14:47:01.22ID:wsrgwaB30>実際にちゃんと理解して日常茶飯事使っているのは、多く見ても五割以下
5割スタートする必要もないだろ。
200人集めても1人か2人じゃないだろうか。
0031名称未設定
2012/04/17(火) 13:33:23.43ID:w2qdJig50まあ一割以下だろうな
ターミナル開いたことない奴も多そう
>>30
くれないと思うけど、心配ならぅpで前にまずチェック汁
てか感染者いないから報告もない
してたら自慢していいぜ？
0032名称未設定
2012/04/17(火) 14:57:07.10ID:ECtYjlNX0ありがとう
いちおう>>16は試して問題無かったんだけどね
ちょうどネットで騒がれ始めた頃にサファリがスタックしたことがあって心配だった
0033名称未設定
2012/04/19(木) 05:37:01.96ID:K7obgRlX00034名称未設定
2012/04/19(木) 18:01:23.97ID:Nrd0pbdM00035名称未設定
2012/04/20(金) 13:23:06.74ID:CQUOZUlC0http://support.apple.com/kb/DL1516?viewlocale=ja_JP
0036名称未設定
2012/07/05(木) 08:06:23.05ID:UT7lLERA00037名称未設定
2012/08/27(月) 11:23:41.53ID:AwPrQlIY0はじめまして、鴇田幸太郎です。
0038名称未設定
2012/08/27(月) 18:19:47.19ID:AwPrQlIY0はじめまして！由美です！
0039名称未設定
2012/08/29(水) 00:59:36.51ID:XKk/po/B0はじめまして！マリです。先ずは自己紹介をさせてください。
0040名称未設定
2012/08/30(木) 11:38:21.53ID:8dHBWdiw0はじめまして、鴇田幸太郎です。
0041名称未設定
2012/08/31(金) 12:49:02.14ID:aHoqQM6E0それでも、M o u n t a in L i o nから顕著な事を書いてはいるので「その2」。かなり困っている。
0042名称未設定
2012/09/02(日) 04:17:02.62ID:X0Q3TbqI0http://ichiba.geocities.jp/gbsg0309/02/2/18.html
天皇一族が、頻繁に行ってきた、歴史上の虐殺トリックだった。
（仮説を含む）
0043名称未設定
2012/09/03(月) 12:46:05.14ID:bDqAvduv0A p p l eは「O S X」の場合)の間だったが、「Q u i c k T i m e P l a y e r」、ストレージとI/Oのパフォーマンスと実装(オーディオを含む)、バッテリ電源管理に関するパッチが含まれている。
■ このスレッドは過去ログ倉庫に格納されています