MACDefender- taas uusi troijalainen

[kallekilponen]

http://www.macrumors.com/2011/05/02/new ... -mac-os-x/

Eli taas hyvä muistutus siitä, että Safarista on hyvä laittaa pois päältä tuo "'Turvallisten' tiedostojen avaaminen latauksen jälkeen."

[Repe Ruutikallo]

Ei voi sanoa että taas, sillä tässä mentiin aika pitkä tovi ilman että maailmalla levisi yhtäkään päivitetyssä systeemissä toimivaa Mac-haittaohjelmaa. Jotain oli pakko tulla jossain vaiheessa.

[kallekilponen]

Onhan noita muutamia hyvin pienissä määrissä aina liikkunut, mutta yleensä vaativat aina käyttäjän omaa huolimattomuutta.

Tällä on siitä uusi tapa, että voi asentua itsekin, jos vaan tuo "Turvallisten tiedostojen avaus" on päällä. Mutta sen pois päältä pitämistä on täälläkin onneksi toitotettu ennenkin.

[Repe Ruutikallo]

Onhan noita muutamia hyvin pienissä määrissä aina liikkunut, mutta yleensä vaativat aina käyttäjän omaa huolimattomuutta.

Tällä on siitä uusi tapa, että voi asentua itsekin, jos vaan tuo "Turvallisten tiedostojen avaus" on päällä. Mutta sen pois päältä pitämistä on täälläkin onneksi toitotettu ennenkin.

Ei kai sentään. Kyllä tuosta asennusikkunasta pitää käyttäjän jatkaa ihan itte...

[kallekilponen]

Niin tuolla MacRumorsissa väitetään:

Users running administrator accounts and with the Safari option to open "safe" files automatically checked appear to be most at risk, with some claiming that no notification of installation was seen or password required. Only when a screen popped up asking for a credit card number to sign up for virus protection did they realize that malware had been installed on their systems.

[iPSP]

^ Koska se on Zip-tiedosto, niin se voi kenties purkaa tarvittavat tiedostot itseään varten ilman salasanan syöttämistä

edit. otetaanpas vähän takas.. En oikein jaksa uskoa tuota, koska eihän OS X pysty asentamaan ohjelmia ilman admin-salasanan syöttämistä, joten mitä luultavimmin ne harvat, jotka väittävät, että troijalainen olisi asentunut itsestään, eivät kerro koko totuutta...

[Repe Ruutikallo]

Uskotaan. Macdailynewsistä sain käsityksen että salasana pitäis syöttää, mutta luin varmaan liian hätäseen. Aika inha paskiainen siis kyseessä.

Edit: eiku tästä.

[paulaw]

Eli nämä huijausvirusohjelmat leviävät sitten mäkillekin... Ehkä vanha viisaus "et tarvitse sellaista" pätee tässäkin?

Siitä puheen ollen, onko kukaan, kenellä on virusturva aktiivisena koneellaan, kokeillut nieleekö se tuon asennuksen valittamatta vai meneekö (kunnon troijalaisen tavoin) lävitse helposti. Itse en ole uskaltanut testata.

[kermit]

Uskotaan. Macdailynewsistä sain käsityksen että salasana pitäis syöttää, mutta luin varmaan liian hätäseen. Aika inha paskiainen siis kyseessä.

Edit: eiku tästä.

Repen on kokeiltava. Se kuulemma lataa selaimeen pornosaitin muutaman minsan välein. Kätevää, ei tartte itse klikkailla.

Mjoo, Integolla on vähän laajemmin kerrottu asiasta heidän omilla mainoksilla höystettynä.

[MacFinn]

Protestoisin vähän tähän ketjun otsikkoon, mitä sana "taas" siinä tekee. Koskas se edellinen tulikaan, oliko viime vuonna? 8)

[kamina]

Tätä isompi uutinen on kyllä että maailmalla huhutaan ensimmäisen crimeware frameworkin olevan valmis OSX'lle. Se sallii helppojen räätälöityjen exploittien tekemisen myös OSX'lle heti kun vaikkapa firefoxissa on aukko... Chrome ja Safari tuki tulossa vasta jälkijunassa.

[kallekilponen]

Protestoisin vähän tähän ketjun otsikkoon, mitä sana "taas" siinä tekee. Koskas se edellinen tulikaan, oliko viime vuonna? 8)

Onhan se Mac aikaskaalalla melko tiheä tahti.

[Repe Ruutikallo]

Uskotaan. Macdailynewsistä sain käsityksen että salasana pitäis syöttää, mutta luin varmaan liian hätäseen. Aika inha paskiainen siis kyseessä.

Edit: eiku tästä.

Repen on kokeiltava. Se kuulemma lataa selaimeen pornosaitin muutaman minsan välein. Kätevää, ei tartte itse klikkailla.

Eli eihän tää olekaan mikään haittaohjelma sitten.

[Mailia]

Eli eihän tää olekaan mikään haittaohjelma sitten.

"Mitä, kulta? Ei ei ei ei, enhän minä! Troijalainenhan se vaan availee tälläisiä! Hyi hyi!"

[securapple]

Hei!

Mikähän kokeilu tämäkin oikein on? Ansaintalogiikkaa ei ole osX-puolella, joten kyseessä liene "testaus". FakeAV:n ideana on "näyttää" oikealta ja huijata loppukäyttäjää "löytämällä" uhkia. Kuinka tämä uppoaa tämän hetken mäkkikäyttäjiin on siis nyt testin alla. Jos tämä "menestyy" hyvinkin niin jatkossa liene uusia yrittäjiä tällä fakeAV -alalla.

Noin yleensä haittaohjelman rakenne vaikuttaa olevan lyhyen tarkastelun perusteella identtinen rakkaasta windows-maailmasta. Eli ekana varmistetaan että käynnistytään joka buutissa. Tarkemmin en ole tähän ehtinyt perehtyä, mutta luulisin että haittaohjelma odottaa login-iteminä kunnes havaitsee että nyt admin-lupa on saatu esim sudon:n grace periodin kautta ja asentuu ehkä silloin automaattisesti?

Odottaen tarkempia kuvauksia,
-Securapple

[petrushka]

Iltaset!

Tässä märkäkorva mäkin-käyttäjä, joka ekan kuukauden jälkeen meni moiseen haittaohjelmasyöttiin... En ollut huomannut Safarin ruksia, mutta tilanne nyt korjattu. Vahinko kuitenkin tapahtui ja luulin mäkkini -niin- fiksuksi, että tyrkyttää tietoturvaa joten syötin moisen käyttäjätunnuksenkin... Miten ko ohjelman saa deletoitua? Jostakin luin, että nykäsee vaan roskakoriin, mutta ohjelma on käynnissä eikä suostu sulkeutumaan/roskakoriutumaan.

Asennus tuli kyllä tehtyä ihan puskista - olin turhan sinisilmäinen mäkin viruksettomuuteen... Google-haku Lady Gagalle toi ilon kotiimme (myös kuulemma osama-bin-laden hoitaa homman) enkä edes ehtinyt hyväksyä mitään latauksia vaan klikkasin vain epähuomiossa google-linkkiä, joka saattoi olla kuva. Luulin että 30 v olisi jo opettanut jotain

No joo - lapset pysyy vielä pikkukakkosen sivuilla, mutta miten opettaa heidät fiksummiksi....

[Repe Ruutikallo]

Ei Macille ollut moneen kuukauteen mitään haittaohjelmia ollutkaan, joten ei se luottamus viruksettomuuteen ihan perätön ollut. Nyt sitten taas on.

En minäkään pienellä haulla poisto-ohjeita löytänyt, mutta varmaan sellaiset jossain on...
Lapsia ei tetenkään saa päästää huseeraamaan koneella ylläpitäjän tunnuksilla, eikös se ole aivan selvää? Eikä itseäänkään välttämättä...

[kermit]

Hakusanoilla "remove MACDefender" tulee kyllä ohjeita. Lyhyesti:
-Activity Monitor -ohjelmalla tapetaan MACDefender
-Applications-kansiosta poistetaan MACDefender.app
-Accounts-asetuksien Login Items -lehdeltä poistetaan sen käynnistyminen

[Repe Ruutikallo]

Hakusanoilla "remove MACDefender" tulee kyllä ohjeita. Lyhyesti:
-Activity Monitor -ohjelmalla tapetaan MACDefender
-Applications-kansiosta poistetaan MACDefender.app
-Accounts-asetuksien Login Items -lehdeltä poistetaan sen käynnistyminen

On kyllä rikollisen iisiä poistaminen sitten. Noin minäkin olisin yrittänyt jos ihan pokkana olisi pitänyt alkaa puuhaan. Eihän tuota edes voi sanoa kunnon haittikseksi. Olen lähes pettynyt...

[freemem]

Muistutetaan nyt kun ei erikseen mainittu tuossa ylempänä, kannattaa ottaa safarin asetuksista pois se avaa turvalliset tiedostot latauksen jälkeen.

[kallekilponen]

Applekin vaikuttaisi kiinostuneen tästä uutuudesta:

http://www.macrumors.com/2011/05/19/app ... customers/

[securapple]

Hei!

Uusimman tiedon mukaan apple ohjeistaa miten haitakkeesta voi välttyä, miten se havaitaan ja miten se poistetaan.

Lisäksi tulossa on päivitys jonka ansiosta osX osaa itse havaita haitakkeen ja estää sen käynnistymisen sekä poistaa haitakkeen.

Linjana siis pysyy, että apple ei lähde suosittelemaan AV-tuotteen hankintaa.

Apple siis pelaa aikaa ja on lähtenyt polulle jossa se itse haluaa hoitaa nämä muutamat haittakkeet itse. Tämä liene toimii niin kauan kun haitakkeet pysyvät teknisesti suht. yksinkertaisina(polymorfismi) ja lukumäärältään vähäisinä.

Lähde : http://www.macrumors.com/2011/05/24/app ... r-malware/

"In the coming days, Apple will deliver a Mac OS X software update that will automatically find and remove Mac Defender malware and its known variants. The update will also help protect users by providing an explicit warning if they download this malware."

-Securapple

[Jyri Jazz]

Turvaukkelille on paikallaan lausua monet kiitokset pitkä-aikaisesta tiedon lisäämisestä foorumille.

Päivitystä odotellessa (Apple 24.5. 2011): How to avoid or remove Mac Defender malware (OS X 10.4 — 10.6).

[Mac Classic]

Uusi variantti "MacGuard" ei vaadi salasanaa asentuakseen: http://www.macworld.com/article/160090/ ... guard.html

[securapple]

Uusi variantti "MacGuard" ei vaadi salasanaa asentuakseen: http://www.macworld.com/article/160090/ ... guard.html

Rogue-AV:n tavoite on saada käyttäjä uskomaan AV:n tarpeellisuuden ja maksamaan ohjelman "Käytöstä".
Näinollen riittää kun ohjelma käynnistyessään sisältää uskottavan käyttäjäkokemuksen(GUI), ja tarjoaa maksamiskanavan.

Kun maksu on saatu, rogue-av:n kiinnostus lopahtaa ellei sillä ole lisätarkoituksina koodattu ilkeämpiä toiminnallisuuksia jotka taas aiheuttavat ko. ohjelman joutumisen oikeiden AV-tuotteiden sormenjälkitietokantoihin ja vähentävät näin "tuottoisuutta".

Ohjelman "Asentaminen" ei turvaukkelin käsitysten mukaan tarkoita sitä, että ohjelma käynnistyy vain tietyn käyttäjän kirjautuessa.

Asentamisellä tarkoitetaan yleensä toimintoa, joka mahdollistaa ohjelmiston käyttämisen kaikkien ko. tietokoneen käyttäjien toimesta. Tähän tarvitaan nk. "admin-salasana".

Poikkeuksena "sudo grace period", eli ellet ole juuri asentanut jotain toista ohjelmaa "sudo grace period (= 5 min)" aiemmin. Tällöin haitallinen ohjelma voi asentaa itsensä (=käyttää sudo-komentoja ilman admin-salasanaa). Eli älä siis surffaile jos olet juuri asentanut ohjelman!

Vielä yksi mahdollisuus asentua ilman admin-salasanaa on asentua käyttäjän login -iteminä, ja tarkkailla käyttöjärjestelmän lokia odottaen lokiviestiä jossa ilmoitetaan sudo-grace -periodin alkamisesta, ja asentua vasta sitten (ilman admin-salasanaa).

-securapple