Como saber si tu Mac está infectada por el trojano Flashback

[iBob]

Tenés que abrir la Terminal y escribir:

defaults read /Applications/Safari.app/Contents/Info LSEnvironment

Al darle Enter, el resultado debería decir algo como: "The domain/default pair of (/Applications/Safari.app/Contents/Info, LSEnvironment) does not exist""

Luego escribis:

defaults read ~/.MacOSX/environment DYLD_INSERT_LIBRARIES

El resultado debería decir algo como: "The domain/default pair of (/Users/ibobx/.MacOSX/environment, DYLD_INSERT_LIBRARIES) does not exist"

Si los dos resultados son "does not exist" al final, significa que estás a salvo!!!

En caso contrario, estás infectado por el trojano. Hay una guía de como eliminar el trojano aquí http://www.f-secure.com/v-descs/trojan- ... ck_i.shtml

[Gonzaloacid]

THX iBob, yo por ahora estoy a salvo.

[iBob]

De nada. Hay que tener cuidado, hasta donde se ya se encontraron mas de 600K ordenadores zombies, y algunos de ellos dentro de la propia mothership de Apple !!! :-S

[Roberto Schettini]

Gracias Roberto! bueno el chequeo, estoy afuera, pero vale la pena confirmarlo, ha sido duro el golpe...
Salutti

[jbolso77]

A salvo. Gracias.

[COLORADO DEL 8]

Safe..-

[PoohMac]

Buen post iBob,


Algo que me parece importante decir también, es el método de infección. En la misma pagina que puso iBob se encuentra como se realiza la infección.

Como esta en ingles les dejo traducido esta parte:


Trojan-Downloader: OS X / Flashback.I se instala por applets de Java maliciosos que se aprovechan de la vulnerabilidad Java RE conocida (CVE-2011-3544) .

En la ejecución, el código malicioso le pedirá al usuario confiado la contraseña de administrador. Independientemente de que el usuario introduce la contraseña del administrador, el malware intenta infectar el sistema, la difrencia es el metodo que utilizara para hacerlo.

Si la infección es exitosa, el malware modifica el contenido de ciertas páginas web mostradas por los navegadores, las páginas web específicas dirigidas y los cambios realizados se determinan con base en la información de configuración recuperado por el malware desde un servidor remoto.


Instalación

En la ejecución, el programa malicioso comprueba si la ruta de acceso siguiente existe en el sistema:

/ Library / Little Snitch
/ Developer / Applications / Xcode.app / Contents / MacOS / Xcode
Aplicaciones / VirusBarrier X6.app
Aplicaciones / iAntivirus / iAntiVirus.app
Aplicaciones / avast! De aplicaciones.
Aplicaciones / ClamXav.app
Aplicaciones / HTTPScoop.app
/ Aplicaciones / paquete Peeper.app
Si alguno de éstos se encuentran, el malware se omita el resto de su rutina y proceder borrarse a sí mismo.


Esto ultimo es muy importante dado que son programas conocidos de detección de virus.

Saludos,
PoohMac

[Yuliomac]

A mi me da esto el primer test y el segundo lo que ibob decía....

defaults read/Applications/Safari.app/Contents/Info LSEnvironment
Command line interface to a user's defaults.
Syntax:

'defaults' [-currentHost | -host <hostname>] followed by one of the following:

read shows all defaults
read <domain> shows defaults for given domain
read <domain> <key> shows defaults for given domain, key

read-type <domain> <key> shows the type for the given domain, key

write <domain> <domain_rep> writes domain (overwrites existing)
write <domain> <key> <value> writes key for domain

rename <domain> <old_key> <new_key> renames old_key to new_key

delete <domain> deletes domain
delete <domain> <key> deletes key in domain

domains lists all domains
find <word> lists all entries containing word
help print this help

<domain> is ( <domain_name> | -app <application_name> | -globalDomain )
or a path to a file omitting the '.plist' extension

<value> is one of:
<value_rep>
-string <string_value>
-data <hex_digits>
-int[eger] <integer_value>
-float <floating-point_value>
-bool[ean] (true | false | yes | no)
-date <date_rep>
-array <value1> <value2> ...
-array-add <value1> <value2> ...
-dict <key1> <value1> <key2> <value2> ...
-dict-add <key1> <value1> ...
Yulios-iMac:~ yulio$

significa que me contagié???

[elviro-me]

que es abrir la Terminal==???

[Count Zero]

@elviro-me: aplicaciones / utilidades / terminal

[Lycan]

Limpio, gracias iBob

[PoohMac]

o.O


pone en el spotlight ... Terminal y vas a ver un icono que se parece a una pantalla negra con esto >_

ahí se te abre ... una ventana negra con done podes escribir

ahí pone "defaults read /Applications/Safari.app/Contents/Info LSEnvironment" (sin las comillas) y apreta enter

luego haces lo mismo pero poniendo esto " defaults read ~/.MacOSX/environment DYLD_INSERT_LIBRARIES" (sin las comillas) y apretad de nuevo enter


si ambas veces te aparece "does not exist" no estas infectado/a con el virus.

salu!

PoohMac

[PoohMac]

Significa que estas escribiendo mal la linea, de hecho en lo que pones te falta un espacio entre "read" y "/Applications?..."

A mi me da esto el primer test y el segundo lo que ibob decía....

defaults read/Applications/Safari.app/Contents/Info LSEnvironment
Command line interface to a user's defaults.
Syntax:

'defaults' [-currentHost | -host <hostname>] followed by one of the following:

read shows all defaults
read <domain> shows defaults for given domain
read <domain> <key> shows defaults for given domain, key

read-type <domain> <key> shows the type for the given domain, key

write <domain> <domain_rep> writes domain (overwrites existing)
write <domain> <key> <value> writes key for domain

rename <domain> <old_key> <new_key> renames old_key to new_key

delete <domain> deletes domain
delete <domain> <key> deletes key in domain

domains lists all domains
find <word> lists all entries containing word
help print this help

<domain> is ( <domain_name> | -app <application_name> | -globalDomain )
or a path to a file omitting the '.plist' extension

<value> is one of:
<value_rep>
-string <string_value>
-data <hex_digits>
-int[eger] <integer_value>
-float <floating-point_value>
-bool[ean] (true | false | yes | no)
-date <date_rep>
-array <value1> <value2> ...
-array-add <value1> <value2> ...
-dict <key1> <value1> <key2> <value2> ...
-dict-add <key1> <value1> ...
Yulios-iMac:~ yulio$

significa que me contagié???

[Count Zero]

great... i'm clean

[Count Zero]

@Pooh: escribiste mal, muchacho... tenés que respetar espacios, puntos, mayúsculas.
Si lo ingresas tal cual funciona.
El error que te dió es un error de sintaxis.

[PoohMac]

?? Mr. me parece que no leyó bien el post la explicación es para quien ha puesto el post con el "error de sintaxis" por eso esta en "quote"


lea bien mijo lea

@Pooh: escribiste mal, muchacho... tenés que respetar espacios, puntos, mayúsculas.
Si lo ingresas tal cual funciona.
El error que te dió es un error de sintaxis.

[elviro-me]

Gracias A Todos, Parece Que No Estoy Infectado!!!!

[Count Zero]

ah.. no eras vos... sorry

?? Mr. me parece que no leyó bien el post la explicación es para quien ha puesto el post con el "error de sintaxis" por eso esta en "quote"


lea bien mijo lea

@Pooh: escribiste mal, muchacho... tenés que respetar espacios, puntos, mayúsculas.
Si lo ingresas tal cual funciona.
El error que te dió es un error de sintaxis.

[PoohMac]

no hay drama! me paso mas de una vez a mi jejejej


abrazo,

PoohMac

[MacAMP]

Gracias por el dato, probado y libre!

[diego_123]

clean
voy a googlear flashback porque ni idea

[NNP]

Safe!

[iBob]

Menos mal que hasta ahora por acá no hay infectados.
Lo interesante es saber que dentro de Apple hubo infectados, como 20 maquinas según reportes.
Aparentemente es todo debido a una vulnerabilidad de JAVA, que ya dicho sea de paso, Apple parcheó en estos días.

[Count Zero]

bueno... eso no me parece raro.
supongo de Apple ademas de sus tropas de desarrollo para el software "blanco" digamos, tienen que tener sus "tropas de avanzada" o "tropas viviendo al limite" que prueban, testean, tratan de romper lo "blanco"...
20 maquinas dentro de las miles que deben tener, no es representativo de una infeccion a gran escala.
pero si de una division o segmento de trabajo.
...
en mi imaginario claro... al menos eso es lo que imagino y que me gustaria que fuera.
yo era de esa clase de gente, cuando desarrollaba

...
Lo interesante es saber que dentro de Apple hubo infectados, como 20 maquinas según reportes.
...

[pepito2k]

Che, no había visto este post. Muy bueno.

Gracias ibob y pooh por la info. Por ahora sigo limpito.

[Juanjo:mac]

Ya hay una actualización que soluciona esta vulnerabilidad.

http://support.Apple.com/kb/DL1515

Pueden descargarla del link o si tienen OS X 10.7 instalado, directamente desde la actualización de software.

[Coyote]

Excelente! muy útil todo! Gracias Bob y Pooh!

[PoohMac]

De hecho acabo de instalar el patch.

Este es el link sobre el tema http://support.Apple.com/kb/HT1222

Fabrizio, es una vulnerabilidad de Java RE asi que calculo que Apple ara el fix para todos los IOS, si no corre el riesgo de tener muuuuchas maquinas infectadas y no creo que quiera





Saludos,

PoohMac

[iBob]

Che, no había visto este post. Muy bueno.

Gracias ibob y pooh por la info. Por ahora sigo limpito.

You welcome!

[iBob]

De hecho acabo de instalar el patch.

Este es el link sobre el tema http://support.Apple.com/kb/HT1222

Fabrizio, es una vulnerabilidad de Java RE asi que calculo que Apple ara el fix para todos los IOS, si no corre el riesgo de tener muuuuchas maquinas infectadas y no creo que quiera





Saludos,

PoohMac

Es un tema de Java. El agujero está en Java mismo, cuyo código no es de Apple, claro, pero de lo que si está a cargo Apple, es de mantener la versión de Java para Mac, y la evolución de los updates no va siempre a la par de las otras versiones de Java liberadas por Oracle, y bueno en este caso, el trojano ganó de mano.