【Mac OS X】 OSX/Flashbackトロイの木馬型ウイルスの感染経路


　2011年9月下旬あたりから投入されたMac OS X向けのトロイの木馬型ウイルス「Flashback」バックドア。表面上は「Adobe Flash Player」のインストーラを装ってます。 イメージ 1
・ Flashback Mac Trojan poses as Adobe Flash update, opens backdoor （Sophos）
・ Mac Flashback Trojan Horse Masquerades as Flash Player Installer Package （Intego）



  1. 2011年9月下旬～10月中旬 ： 第１次ウイルス配信キャンペーン （サーバー：ルーマニア）

  2. 2011年11月10日～ ： 第２次ウイルス配信キャンペーン （サーバー：ハンガリー）

◇ ウイルス誘導経路



海外の一般サイト・フォーラムなど
　↓
リダイレクター
　↓ ← ユーザーエージェントでMac振り分け
Flashbackウイルス配信サイト


　一般サイトのハッキングで不正なJavaScriptタグを埋め込みリダイレクター用ページへ強制的に誘導します。ここでブラウザのユーザーエージェント（UA）をチェックして、WindowsユーザーはWindows向け、MacユーザーはMac向けのウイルス攻撃ページへと振り分けられます。リダイレクターは手元では5か所をウヲッチ中（実際にはもっとあるんでしょうが）。Googleセーフブラウジングの情報だと、リダイレクターの中で誘導元の数がもっとも多いのは約30サイトとなってます。 イメージ 2


　んが、ウイルス攻撃者は配信をスタートさせた9月下旬以降ずっと感染させるマシンをかなり絞って限定的にやってます。今後どうなりますかいな。。。



  • ブラウザ → Safrariブラウザは弾く

  • IPアドレス → 一部地域のみ （日本は弾き対象）

◇ セキュリティソフトの対応状況
　第２次配信キャンペーンのウイルス検体は、オンラインスキャンサイトVirusTotalの情報を見る限り対応してるウイルス対策・セキュリティソフトがないです。今はウイルス攻撃者はやりやすい状況でしょう。