Jo, så det jag har gjort är att skriva ett program som sätter på SSH och VNC men jag behöver hjälp med att få offrets IP-address och lösenord skickat till mig/någon email-address. Var sparas lösenordsfilerna? Och kan man få det skickat på något sätt? Fattar att det kan vara svårt men har testat programmet på Borsans dator och allt fungerade men för att få det att funka på vilken annan mac-dator som helst behöver jag hjälp med det här.
Var skyddade lösenord ligger vet jag inte. Inte heller hur skyddade de är.
Vad jag däremot vet är
- att jag som admin inte kan komma åt lösenord utan att ange lösenord
- inga lösenord flyttas över till ny dator vid användandning av flyttassistent
Apple har tänkt.
Att få se ett virus mot OS X vore intressant. Oroväckande, men intressant. Ingen har ju lyckat hittills.
Att få trojan innebär att att användaren själv släpper in fulkoden, genom att exempelvis ladda hem ett piratkopierat program.
Dessa kan ej jämföras.
Med din referens är alla programmakare virustillverkare. Att en tillverkare/upphovsman begär data tillbaka från dig är något man ofta kan tacka nej till. Oavsett detta sidospår har ingen – ingen – lyckats göra ett virus som för användaren helt ovetandes
1) tar sig in i datorn
2) sänder information till virusmakaren
3) sprider sig vidare till användarens kompisar
Detta har alltså aldrig hänt. Någonsin.
Den dag det kommer hända är jag den första att spetsa mina öron.
__________________
Senast redigerad av system 2012-04-07 kl. 12:08.
Med din referens är alla programmakare virustillverkare. Att en tillverkare/upphovsman begär data tillbaka från dig är något man ofta kan tacka nej till. Oavsett detta sidospår har ingen – ingen – lyckats göra ett virus som för användaren helt ovetandes
1) tar sig in i datorn
2) sänder information till virusmakaren
3) sprider sig vidare till användarens kompisar
Både #1 och #2 uppfylls av den här trojanen enligt f-secure. Det räcker med att man går in på en viss hemsida så blir man smittad via ett säkerhetshål i java vare sig man vill eller inte.
Jepp! Efter nedladdning till datorn sker följande (jag fetade några rader):
Trojan-Downloader:OSX/Flashback.I is dropped by malicious Java applets that exploit the known CVE-2011-3544 vulnerability.
On execution, the malware will prompt the unsuspecting user for the administrator password. Whether or not the user inputs the administrator password, the malware will attempt to infect the system, though entering the password will affect how the infection is done.
If infection is successful, the malware will modify the contents of certain webpages displayed by web browsers; the specific webpages targeted and changes made are determined based on configuration information retrieved by the malware from a remote server.
Installation
On execution, the malware checks if the following path exists in the system:
%is_user_daemon% is "1" if the process is running as the first OS X user account or daemon "0" otherwise
The filename and actual content of the payload depends on reply of the remote host. The reply is compressed and encrypted but the actual content follows this format:
Binary1 is more or less the malware's main component. In the sample that we analyzed, it hijacks CFReadStreamRead and CFWriteStreamWrite by creating an interposition to these functions. The malware modifies contents returned or send by these APIs. It targets the contents of specific webpages, as determined by config information returned by the remote host.
Binary 2
Binary2 is basically a filter component that will load binary1 only into a targeted process. This is to avoid crashing incompatible applications and raising the user's suspicions. In the sample that we analyzed, it targets the Safari web browser.
Infection
Only after downloading the payload does Flashback.I proceed with infecting the machine. To do so, the malware prompts for the administrator password, as in the following screenshot:
The icon indicated by the red box in the screenshot is the PNG content returned by the remote host. This is dropped to the location '/tmp/.i.png' on the system. Since this image is controlled by the remote host, it can be changed any time the author deems necessary.
Whether or not the user inputs their administrator password at the prompt determines the type of infection the malware subsequently performs:
Infection Type 1
If the user inputs their administrator password, the malware will create the following files:
/Applications/Safari.app/Contents/Resources/.%decoded_filename%.png - contains %decoded_binary1_contents% and %decoded_payload_config%
/Applications/Safari.app/Contents/Resources/.%decoded_filename%.xsl - contains %decoded_binary2_contents%
The malware then creates a launch point, inserting the following line into "/Applications/Safari.app/Contents/Info.plist":
If any of these are found, the malware again skips the rest of its routine and proceeds to delete itself, presumably to avoid infecting a system that has an incompatible application installed.
If none of the incompatible applications are found, the malware will create the following files:
This in effect will inject binary2 into every application launched by the infected user.
For this infection type, the malware reports the successful infection to the following URL:
h t t p : / / 95.215.63.38/stat_u/
Intressant att trojanen tar bort sig själv om man har någon av alla de där programmen. Det jobbar hårt för att vara undercover, kan ju vara nått för dig att tänka på ts?
__________________
Senast redigerad av Glocken 2012-04-08 kl. 13:57.
Har grubblat lite och nästan skrivit klart programmet. Men jag använder mig ut av "Mail.app" som skickar mail i bakgrunden via ett Applescript. Det första som kommer upp är en ruta med "Java kräver tillgång till din dator. Skriv in ditt lösenord för att fortsätta." Whips, där har vi lösenordet Och sen när man klickar på done så kommer den att skicka mail med Lösenord, Användarnamn och IP ;D
Däremot, finns det någon Applescript/Mail-metod för att skicka mail till alla Kontakter? För då skulle ju Trojanen kunna sprida sig
Flashback finansieras genom donationer från våra medlemmar och besökare. Det är med hjälp av dig vi kan fortsätta erbjuda en fri samhällsdebatt. Tack för ditt stöd!
Och sen när man klickar på done så kommer den att skicka mail med Lösenord, Användarnamn och IP ;D
