DNS hijacker malware

Rendszer
, ,
1

Itt az idei év első dns malware. A fertőzés mikéntje egyelőre nem ismeretes, de a vírusírtók nem jelzik. A dns szervereket írja át, lehetővé teszi screenshot készítését, egérkattintást tud kiváltani, illetve AppleScript futtatására is képes.

A fertőzés jelei:

A DNS szerveretek címe 82.163.143.13 és 82.163.142.137

B2A22C87-8F60-48B7-ACE6-A7BFCA4FB6F7.png668×563 52 KB

Egy cloudguard.me certificate került a gépre.

Védekezés:

Fertőzés esetén a mac teljes újratelepítését javasolják, mert a malware feltelepíthet más rosszindulatú kódot is. Ha kockáztattok, akkor töröljétek a dns szervereket.

System Preferences / Network / Advanced / DNS , mindkét bejegyzést töröljétek.

91DEA30F-99FE-4C5F-9418-7E8B58AC9A15.png651×506 17.2 KB

A certificate-et a Keychain Access / System alól lehet kitörölni.

A képek forrása, és a hiba feltárását részletesen leíró oldal:

2 kedvelés
2

Tegnap óta várom, hogy valaki hozzászól, de semmi érdeklődés. Ahogy elnézem, külföldön sem izgat sokakat. Amúgy itt van még egy kis érdekesség:

"Windows Relatives
After chatting with @noarfromspace, about this malware, he dug up an interesting article from 2015. Titled, “The mystery of 82.163.143.172 and 82.163.142.174”, the article dicusses a piece of Windows malware named DNSUnlocker that also hijacked DNS settings on Windows systems. This DNSUnlocker malware seems closely related to OSX/MaMi for a few reasons:
DNS servers:
DNSUnlocker, hijacks Windows victim’s DNS servers to: 82.163.143.172 and 82.163.142.174
OSX/MaMi, hijacks Mac victim’s DNS servers to: 82.163.143.135 and 82.163.142.137

Certificate:
The certifcate installed by both malware specimens is the same."

3

Én végigolvastam a linkelt leírást, és beállítottam Little Snitch-ben tiltottnak a két címet.

1 kedvelés
4

többször hallottam már emlegetni erre-arra ezt a Little Snitch-et, voltaképp mi ez?

5

Hálózati ellenőr: tűzfal kifelé is.

6

Nálam a fritzbox csatlakozik fel ipv6 protokollon keresztül, akkor mit kell néznem?

7

én is végigolvastam, meg még meg is értem az angol nyelvű szöveget, egyébként meg sajna hülye vagyok hozzá.
de a little snitch-ben én is beállítom…

8

Első körben a SysPref – Network – DNS-t.

9

Ott nekem a fritz box által generált cím van, az konnektál a digi kábelre. Gondolom, arra nem tud rákúszni ez szörnyeteg?! A keychain nálam tiltva van, 1pw-t használok.

10

Az a lényeg, hogy ne a fenti két szám legyen.
(A részletes leírás szerint a /Library/Preferences/SystemConfiguration/preferences.plist állományt lemásolja …plist.old néven, és az eredetibe beírja a téves DNS-eket, de hogy ehhez hogyan szerez jogosultságot, azt nem tudom.)

11

Köszi, akkó nem jöttek be a vámpírok.

12

koszi az infot, szerencsere negativ,

13

És mindezt magától, mindenféle user interakció nélkül. Hihető. Csak nem nagyon.
Üdvözlet egy rendszergazdától :slight_smile:

14

Nyilvan, valahogyan bejut, valamivel elinditod es valamiben benne van, viszont azt sehol senki nem irja, hogy miben. Egyelore szenzaciohajhasz hirkent kezelem ezt.

15

Hja. Meg cert sem települ magától.

16

A windowsos malware sem a levegobol kerul a gepre, a fertozott program elkeri a jelszot, a user meg megadja.

17

Nálunk eleve policyból le van tiltva, hogy a user bármit telepítsen, ha kell valami szól. Rendszerszintű dolgokhoz meg senki nem fér hozzá. Userek jelszava 12 karakter totál random, adminé meg jó hosszú szintén random. Bele is telt pár napba, hogy ne kelljen keepassx fájlt megnyitogatni, ha admin pass kellett. :)

18

A gond az, hogy az otthoni felhasznalok 99% szerintem nincs admin jelszo beallitva.

19

Főleg a windows user-eknél.

21

Ne is mondd, ismerős vett a kisfiának egy új Airt, majd felhívott, hogy hiába próbálja elindítani a windowsos programjait valamiért nem futnak a gépen. Nem is értem miért…