無題なブログ

ブラウザに表示されるMac向け偽ウイルススキャン画面 （Finder偽装）

　『Windowsパソコンのウイルスに影響を受けません。』でおなじみのMac OS X向けのインチキ偽セキュリティソフト「MAC Defender」の亜種「Mac Protector」（MacProtector）を配布するMac向けページがあるということで、Windowsパソコンからアクセスしてみやした。Windowsで言うところの「エクスプローラ」に相当するMacの「Finder」に外観デザインを偽装していて、ウイルスチェックしてるかのような動くアニメーションと、ウソのウイルス感染警告が提示されます。

　Windows環境なので、普通に訪問してもWindows向けの偽ウイルススキャンの外観デザインで表示されちゃうので、ブラウザのユーザーエージェント（UA）を故意に”Mac＋Safari”に偽装してます。

　「Scanning for viruses」ということでウイルスチェックしてますのシーン。進行バーがビヨーンと伸びつつ、背景のウイルスファイルがどんどんリストアップされていきます。下のポップはIE9の新機能「通知バー」の警告。
　　http://farm4.static.flickr.com/3046/5698516507_6baea09799.jpg

　ウイルスチェックが完了し、警告ボックス「Apple security alert」が出現したシーン。89個のウイルスが見つかったと『Apple security center』は申しております。背景に描かれてるウイルスファイル（のイメージ画像）は、過去に見つかったMac OS X向けのウイルスたちなん〜。
　　http://farm3.static.flickr.com/2551/5698731987_243eb2a385.jpg

　ついでに、Firefoxでアクセス。こっちだと79個のウイルスだそうです。ありがたいことに、少し経ったらウイルスが減りました。
　　http://farm3.static.flickr.com/2665/5699117308_b2bc3d54a6.jpg

　Windowsパソコンにもできないこと。それは、Macのウイルスに感染すること。

　私のおすすめ:
危険なSafariの設定... ウイルス感染悪用機能をOFFにせよ！

どんどこ投入？ Mac用偽セキュリティソフト「MacProtector」

　Mac OS X向けの偽セキュリティソフト「MACDefender」（MAC Defender）の登場後に、亜種が「MacSecurity」（Mac Security）と来て、今度は「MacProtector」（Mac Protector）に名前を変えた新しい亜種が投入されました。どんどこ投入してくようですねぇ。

　焦らせるためか、いかがわしいポルノサイトやバイアグラ販売サイトなどをブラウザを強制的に起動して表示するんとか。Windows向けの偽セキュリティソフトでもそういう挙動を行うものがありますねぇ。
・ Mac fake anti-virus attack gets dirty to ensnare victims （Sophos Naked Security Blog）

　VirusTotalのスキャン結果：

www.virustotal.com/file-scan/report.html?id=dbf70f7d40ff701e661bbc45dfe52c8cf32f8e1dafca5801ebfff97491901296-1304759269

---

[追記...]
　日本のMacユーザーにも複数の被害者が！ 「Mac Protector」の駆除・削除についての情報。
・ MAC Defender Rogue Anti-Virus analysis and Removal （SecureMac）
・ Mac Protector: Register your copy now! （Kaspersky Securelist） ← 購入状態へ持ってくレジストコード

　私のおすすめ:
危険なSafariの設定... ウイルス感染悪用設定をOFFにせよ！

「MACDefender」に続くMac用偽セキュリティソフト「MacSecurity」

　Mac OS X向けのインチキ偽セキュリティソフト「MACDefender」（MAC Defender）を配布する偽ウイルススキャンのページをウヲッチしてますが、今日になって「MacSecurity」（Mac Security）なる偽セキュリティソフトにすげ替えられました。ファイル内部を見る限りMACDefenderの亜種ということになるんでしょうか。さらにややこしい名称になりましたーな・・・。

　Windows向けの偽セキュリティソフトの場合、外観デザインは同じで名称だけコロコロかえて量産されてるので、アンチウイルスソフトの検出対応が間に合わないようMac向け偽セキュリティソフトの方も今後はそういうスタイルでどんどん投入していくんでしょうかねぇ？

　↓「MacSecurity」のサポートページ

　　

---

[6日追記...]
　セキュリティ会社から亜種登場の報告がアナウンスされてます。
・ Intego Discovers New Variants of Mac Defender Fake Antivirus （Intego The Mac Security Blog）
・ Mac fake anti-virus attack adopts new disguise （Sophos Naked Security Blog）

　ちなみに、オンラインスキャンサイトVisruTotalで「MacSecurity」（Mac Security）をスキャンした結果はこんな感じ〜。Windows向けの偽セキュリティソフトみたいに、そう遠くない内に名前を変えた次の亜種が投入されちゃいそうな気もします。

www.virustotal.com/file-scan/report.html?id=90ff5bd22879129b4aa59aefb93fb59366a6b59f985a042a0a4087454aa8f020-1304678068

　私のおすすめ:
危険なSafariの設定... ウイルス感染悪用機能をOFFにせよ！

Mac向け偽セキュリティソフト「MACDefender」配布ページを訪問してみる

　　　http://farm6.static.flickr.com/5142/5681629199_eed7f595f1_z.jpg

　AppleのMac OS X向けインチキ偽セキュリティソフト「MACDefender」が見つかったそうな。オサマ・ビンラディンの死亡ネタに絡んで配布ページへ画像検索経由で誘導されるそうです。
・ INTEGO セキュリティ・メモ – Macユーザを標的にする偽アンチウイルスプログラム、MAC Defender （Intego）
・ Mac users hit with Fake AV when using Google image search （Sophos Naked Security Blog）

　んで、さっそくWindows＋Internet Expoler 9の組み合わせで、「MACDefender」の配布ページへと直接アクセスしてみました。ウイルススキャンを行なってるかのような偽アニメーションが表示されて「BestMacAntivirus2011.mpkg.zip」ファイルをダウンロードするよう促してくる流れ。嘘のウイルス感染警告でビックリ驚かせて、ウイルスを手動で起動してもらう戦法。

　ブラウザ上に表示される偽ウイルススキャンのシーンは、まんまWindowsパソコンユーザーをダマす用のデータが流用されてます。外観デザインがWindows XPを装っていて、「Fast Windows Antivirus 2011」「Windows Security Alert」などの表記があり、作りがまだ甘すぎー。今後のMacユーザー向けにどのくらいカスタマイズされるのか気になるところ。攻撃者側も手探りの状態なはずなので、流行するかどうかはこの脅威でどのくらいのMacユーザーがクレカ情報を送信してしまうかによるん？

　ところで、「MACDefender」でググると、「MacDefender - Home」（www.macdefender.org）というサイトがヒットします。サイト名とインチキソフト名が運悪く丸被りしてしまったようでトップページで警告しとるねぇ。

---

[追記...]
　配布されてるファイルのバイナリを調べて、「MACDefender」の購入画面のURLアドレスにアクセスしてみました。偽セキュリティソフトの脅威（不正なプログラムを感染させて報酬金をゲットするアフィリエイト）が、Windows以外にMacもターゲットに入ったことが分かりました。

　　　http://farm6.static.flickr.com/5222/5682830906_6571caa5bb_z.jpg

　私のおすすめ:
MacOSX用アンチウイルスソフト

Appleがひた隠す Mac OS X 内臓 ウイルス検出機能 "XProtect" って？

　　　　http://mozshot.nemui.org/shot/350x280?http://www.apple.com/jp/macosx/security/

Antivirus "XProtect" on Apple Mac OS X

　米国Appleが提供するMac OS XのSnow Leopardから搭載されてるMac向けウイルス検出機能です。Appleはこの機能の具体的な情報をあまり公表していません。過去の『Macはウイルスに感染しない』という宣伝に相反することによるものでしょうか（当時はウイルスは存在しなかった）。
・ Mac OS X v10.5 および v10.6 のファイルの隔離について

　「XProtect.plist」というファイルがウイルス定義データになるため、セキュリティ会社の間ではこの機能を「XProtect」という名称で呼んでます。検出に対応してるウイルスは2011年６月時点で計５種です。

• OSX.RSPlug.A
  
• OSX.Iservice
  
• OSX/Pinhead-B, HellRTS [2010年6月対応]
  
• OSX.OpinionSpy [2011年3月対応]
  
• OSX.MacDefender [2011年5月対応]
  
  

○ Mac向けウイルスはどうやって感染する？
　すべてがユーザーの手動でもって取り込んで、Macが発する警告を一切無視して実行させて始めて感染状態になります。まずは人間の壁を突破する必要があるので、別の有用なソフトウェアと偽ってP2Pネットワーク上や不審な海外サイトで配布されます。たとえば、「動画・音楽を再生するためのプレーヤー・コーデック」「有償製品の海賊版」「壁紙」「スクリーンセーバー」といった感じです。

○ 蔓延してないMac向けウイルス
　圧倒的なユーザー数を前に攻撃が可能なWindows向けウイルスと違って、Mac向けウイルスは蔓延してません。ウイルス感染攻撃の第一の目的となってる”お金儲け”がまだまだ効率よく実現できず、費用対効果がぜんぜんないためです。不安をあおった上での、セキュリティ製品の便乗宣伝には念のため注意してください。

　Windowsにはウイルス作成・攻撃を支援する充実した環境がそろってます。たとえば、プログラミングの知識がなくても使える「ウイルスお手軽作成ツール」や、作成したウイルスをセキュリティソフトが検知できないようバイパスさせる暗号化ツールなどが存在します。これにより、ウイルスの出現数が”秒”の域に突入し量産体制が行われ、セキュリティソフトの検出対応がまったく間に合ってない状況になってます。

[2011年5月追記...]
　不特定多数の人間が報酬金を得ることを目的としてMac向けの偽セキュリティソフトが登場しました。お金が絡むと世界が変わります。すでにウイルスによって裏でお金が動くのがWindows向けのウイルスです。今までMac OS X用の不正なプログラムには直接的に金銭が絡むものが大してありませんでしたが、今後の動きに注視する必要が出てきました。

　私のおすすめ:
マックのウイルス対策（フリーソフトも）