【分析レポート】 悪性 .NET ファイルを含む MacOS アプリ

01. 分析

 

通常、macOS で Windows 実行ファイル (.EXE) を開こうとすると、実行できずに、エラーメッセージのウィンドウが表示される。

 

 

 

だが、Mono Framework をインストールすると、EXE 拡張子の付いたマイクロソフトの .NET ファイルを macOS で実行することができる。

 

この特徴を利用した .NET 実行ファイルを含む悪性アプリが見つかっている。この悪性アプリは、MonoBundle ディレクトリ内に Installer.exe ファイルが存在し、Mono を実行するためのライブラリファイルが格納されている。

 

 

 

この Installer.exe ファイルは .NET ファイルであり、Mac でのみ実行できるように作られていて、Windows では正しく実行できない。

 

Installer.exe ファイルが実行されると、/Application ディレクトリ内にある各種アプリのファイルリストを収集する。

-       APP Store.app

-       Automator.app

-       Calculator.app

-       Calendar.app

-       Chess.app

-       Contacts.app

-       DVD Player.app

-       Dashboard.app

-       FaceTime.app

-       Font Book.app

-       Image Capture.app

-       Launchpad.app

-       Mail.app

-       Maps.app

-       Messages.app

-       Mission Control.app

-       Notes.app

-       Photo Booth.app

-       Photos.app

-       Preview.app

-       QuickTime Player.app

-       Reminders.app

-       Safari.app

-       Siri.app

-       Stickies.app

-       System Preferences.app

-       TextEdit.app

-       Time Machine.app

-       UtilitiesiBook.app

-       iTunes.app

  

 

 

/usr/sbin/system_profiler を実行して取得したシステム情報のうち、以下のシステム情報を収集する。

 

 

-       ModelName

-       ModelIdentifier

-       ProcessorSpeed

-       ProcesorDetails

-       NumberofProcessors

-       NumberofCores

-       Memory

-       BootROMVersion

-       SMCVersion

-       SerialNumber

-       UUID

 

54[.]164[.]144[.]​252​:10000に接続し、収集された情報を送信する。​

​

54[.]164[.]144[.]​252:10000/loadPE/getOffers.php に接続してファイルをダウンロードし、~/Library/X2441139MAC/Temp/ に保存する。

 

ダウンロードされたファイルは、DMG(Apple Disk Image) でマウントした上で​実行される。これらの DMG ファイルによって PUP (Potentially Unwanted Program) がインストールされる。

 

 

02. 対応

 

アンラボの V3 は、基本的に Windows と Mac ファイルの両方に対して診断を行うことができ、V3 のすべての製品でこのマルウェアを検知することができる。