無題なブログ

Appleセキュリティアップデートで偽セキュリティソフトMACDefenderに対処

　インチキ偽セキュリティソフトMACDefenderファミリー（MacSecurity、MacProtector、MacGuard）が投入されて１か月ほどになりますが、Appleがセキュリティアップデートで対処したそうで。
・ Apple、MacDefender対策のMac OS Xアップデート提供開始 （マイコミジャーナル）
・ About Security Update 2011-003 （Apple Support）

　ZDNetにアップデート適用前と適用後の動画が公開されてます。Finder偽装の偽ウイルススキャンのページが開かれてしまうと、Safariの設定の影響でインチキソフトのアーカイブファイルは結局は勝手にダウンロードされちゃうんですなぁ。
・ Apple updates antivirus software, adds daily definition check （ZDNet）

　私のおすすめ:
偽セキュリティソフトMacDefender・・・日本Macユーザー被害者たちの証言集

偽セキュリティソフト「MAC Defender」の亜種「Mac Guard」投入

　５月から始まったMac OS Xを対象としたインチキ偽セキュリティソフトの大々的な感染キャンペーン「MACDefender」→「MacSecurity」→「MacProtector」と来て少し時間が経ちましたが、新たにソフト名をすげ替えた亜種「MacGuard」（Mac Guard）が投入されたそうで。Appleがやっと対応に乗り出すという予告発表をした直後ですかいな。
・ Macを狙う偽ウイルス対策プログラムに新バージョン （CNET Japan）
・ New Mac Defender Variant, MacGuard, Doesn’t Require Password for Installation （Intego）

　今までは配信サイトからインチキソフトそのもののインストーラファイルをダウンロードさせる形でしたが、今回からインチキソフトのインストーラーファイルをネット経由でダウンロードしてくる「avRunner」なるプログラム（ダウンローダー型トロイの木馬）を配布する形に切り替わりました。

　↓配布ファイルのサイズが 1.7MB ほどだったものが、わずか 46KB になっとります。サイズが小さいのでダウンロードはホント一瞬で終わっちゃいまさね。

　　

　私のおすすめ:
「Mac Defender」マルウェアの感染防止 （Safari）

Appleがあられた。MAC Defenderはようすをみている（はず）。

　Mac OS X向けのインチキ偽セキュリティソフト「MAC Defender」ファミリー（Mac Security、Mac Protector）が投入されてだいたい３週間が経過。日本のMacユーザーにも感染被害者が現れた この脅威に対してAppleがついに対応に乗り出すそーで。
・ 【HT4650】 How to avoid or remove Mac Defender malware （Apple サポート）
・ Mac OS Xのアップデートで、偽セキュリティソフトの検知・駆除機能を提供へ （INTERNET Watch）
・ Appleが偽ソフト「Mac Defender」を警告、近く Mac OS X 更新で対策 （japan.internet.com）

　Mac OS Xには、Snow Leopardから「XProtect」というウイルス検知機能が内臓されてるので、これのウイルス定義データを更新するん？ あと、Safariブラウザのダウンロード後、"安全な"ファイルを開く機能の影響で、画像検索エンジンにヒットした画像をクリックして配信サイトが開かれるのと同時に偽セキュリティソフトのインストーラーファイルが勝手にダウンロードされちゃうので対処されるん？

　Appleが反撃ののろしをあげる準備を行ってる中、「Mac Protector」の配信サイトは昨日も今日も24hで正常に稼働しております。

　私のおすすめ:
無題なブログ - Mac向けウイルスや偽セキュリティソフトの記事

Mac Protector（MAC Defender亜種）が表示する"いかがわしいサイト"たち

　５月より大々的に始まったMac OS X向けのインチキ偽セキュリティソフト感染キャンペーン、「MAC Defender」（MACDefender）、その亜種「Mac Protector」（MacProtector）のニュースが今週も報じられてます。
・ Ｍａｃ狙ったウイルスソフト、専門家「大量検知は初めて」 （ロイター）

　この詐欺プログラムについて、ロイター（17日）によると「Appleのスポークスマンはコメントを避けた」そうですが、AppleCareへの問い合わせに対するApple内部関係者向け資料（16日付）というのがZDNetにて暴露されてます。この手のマルウェアの駆除方法についての指南はサポートの対象外だそうです。
・ Apple to support reps: "Do not attempt to remove malware" （ZDNet）

　ところで、日本のMacユーザーの感染被害者さんの中に下のような報告が・・・。こういう挙動はWindows向け偽セキュリティソフトにも時々あります。あせらせてパニックにさせる作戦なんでしょうな。

で、一定時間ごとにポルノサイトが自動的に開くようにプログラムされてる。しかもガチホモ系。

いきなりブラウザが強制起動されて海外のゲイサイトとかバイアグラのページ出てきて心臓に悪い(´･ω･`)

　ってことで、「MAC Defender」やその亜種が、定期的（10分ぐらいの間隔）にSafariブラウザを強制起動して表示する”いかがわしいサイト”にテキトーに訪問してみることにしました。全部で６か所あります。

　ポルトサイト、ゲイサイト、バイアグラ・・・。パッと見で「ウワッ！」となりそうな所をあえて選んでる感じ。

　私のおすすめ:
危険なSafariの設定... ウイルス感染悪用機能をOFFにせよ！

日本のMacユーザーを襲う偽セキュリティソフト「MacProtector」

　1つのMac OS X向け不正プログラムのまとまった報告が、日本国内で複数挙がるのは始めてではないでしょうか？ Mac OS X向け偽セキュリティソフト「MacDefender」ファミリの感染被害に巻き込まれた人、感染後のポルノサイト表示を目にしてしまった人、ブラウザに表示されるFinderを装った偽ウイルススキャンを目撃した人、の報告が今週からイロイロと〜。
・ Nac Protector - 続Nakano Weblog
・ {{とある隠者の迷妄日記}} : 対mac用、偽ウイルススキャンソフト
・ やべえ、Mac Protectorなんて変な 〜
・ 私の方は何ともないんだけど、〜
・ 友人が、Rougueソフトの 〜
・ 怪しくないサイトで調べ物をしていたときに、〜 【Mac】セキュリティスレ Part.9
・ 【Macユーザー様へ】本日2回も偽ウィルススキャンサイト 〜
・ 標的はMacユーザー！Finder偽装でインチキセキュリティソフトを 〜 | SHUXSHU
・ Macprotectorという偽セキュリティソフトを取り除くには ... - Yahoo!知恵袋
・ Mac Protectorとは何？
・ 画像を開こうとすると、「ウィルスに感染しました」って画面が 〜
・ 私１０年来のMacユーザーです。
・ 危うくインストールしてしまいそうに 〜
・ ページ開いたらインストーラーが 〜
・ 新しいタブで開いたらウィルス警告が 〜
・ MacGuardって名前になってた。 〜
・ 数日前のことだ。Macユーザーの知人が危うく 〜
・ アプリケーションフォルダを開くとMacShieldって 〜
・ １０分間隔でゲイとポルノとバイアグラのサイトが 〜
・ Macがウィルス感染した。五秒に一度ポルノと 〜
・ 調べものしてたらMacGuardってインストーラーが 〜
・ 今、話題になってるMacのマルウェアというものに 〜
・ Mac Shieldてなんだよ 〜
・ Apple Security Center ってのが出た
・ まさか自分の身に降り掛かろうとは 〜
・ 偽ウイルスセキュリティソフトがダウンロードされて ... - Yahoo!知恵袋
・ ウイルスにやられてますmy Macちゃん。。。 〜
・ Mac使ってて初めて怪しげな 〜
・ おぉ、さっきのが
・ Mac向けのマルウェアを発見！
・ ピンチ。資料探しで、ネットサーフ中になんか 〜
・ 偽ウイルスセキュリティソフトがダウンロードされてしまいました。 ... - Yahoo!知恵袋

　「MACDefender」（MAC Defender）が投入されたのは今月5月1日あたり。亜種の「MacSecurity」（Mac Security）が5日、「MacProtector」（Mac Protector）が7日。日本では何で先週からではなく、今週になってから報告が挙がってるのか・・・？

　これにはちゃんとした理由があって、攻撃者は先週までアクセスしてきたIPアドレスをチェックして、『Macユーザー＋JPドメイン』の組み合わせだと弾くようにしてたんですねぇ。正確に言うと、USドメインだけ偽ウイルススキャンのページへ強制的に飛ばすようになってたんですが、今週9日からその縛りがなくなった結果、こういう状況へと至ったワケ。

　お金をかけずにできる対策は下の３点。
● Safariブラウザの設定で、最初からチェックマークが入ってる『ダウンロード後、“安全な”ファイルを開く』を必ず無効化すること （Safariは勝手にダウンロードしてしまう仕様あり、FirefoxやChromeはユーザーに確認する場面あり）
● 素性の知らないプログラムをインストールしないこと
● ウェブブラウザ上に表示される偽ウイルススキャンのアニメーションにくれぐれも騙されないこと

　偽ウイルススキャンのページは、現在のところGoogle・Yahoo!検索経由でいきなり誘導されます。「危ないサイトを訪問しなければ・・・」とかは必ずしも意味がないのでご注意を！

---

[追記...]
　ちなみに、13日夜時点で配信されてる検体（MacProtector）をVirusTotalに放り投げるとこんな感じ。

www.virustotal.com/file-scan/report.html?id=a071c64ed8c15a2652ea9dcc435a7970d7aea61e5511e789f349ab0e20bbd8d2-1305293695

　私のおすすめ:
危険なSafariの設定... ウイルス感染悪用機能をOFFにせよ！