Adobe Flash Playerのインストーラーを装い、MacにPUAやアドウェアなどをインストールするマルウェア「Mughthesec」が流行中。

セキュリティ

2017.08.092017.08.10

記事内に広告が含まれています。

　Adobe Flash Playerのインストーラーを装い、MacにPUAやアドウェアなどをインストールするマルウェア「Mughthesec」が流行しているそうです。詳細は以下から。

　Objective-SeeのpatrickさんやMalwarebytesのThomas Reedさんによると、2017年08月上旬からAdobe Flash Playerのインストーラーを装い、Macにユーザーが不要なアプリ(PUA: Potentially Unwanted Application)やアドウェア、Safari機能拡張などをインストールする「Mughthesec」というマルウェアが出現しているそうです。

Made it to blog post #32! 😍 Read: "WTF is Mughthesec!? Poking on a Piece of Undetected Adware" 👾☠️🍎 https://t.co/bVXRRXOaMo #adware #malware

— Objective-See (@objective_see) 2017年8月8日

Interestingly, googling “Mughthesec” only returned one relevant hit; a post on Apple’s online’s forums tilted “Safari does not render Gmail correctly”. Posted on August 2nd, user ‘giveen’ stated that, “Only in Safari, when this specific user logins, it does not render Gmail correctly. Only Gmail. Only in Safari.” Following another user’s suggestion, ‘giveen ‘ ran EtreCheck which noted several “unknown files:”

~/Library/LaunchAgents/com.Mughthesec.plist

~/Library/Application Support/com.Mughthesec/Mughthesec

WTF is Mughthesec!? – Objective-See

　Mughthesecの被害は大学のテクニカルサポートやMacを利用する子供の親などから報告されており、実行されるとAdvanced Mac CleanerやSafe Finder、Any SearchのSafari機能拡張などがインストールされ、不要なポップアップやGoogle(Gmail)などのWebサイトに割り込んでくるそうです。

　この様なマルウェア(アドウェア)は昔から存在し、Thomas Reedさんらはこれらを「OperatorMac」と呼んでいるそうですが、悪いことに今回のMughthesecはインストーラー(pkg)およびアプリへの開発者署名が全て有効になっており、VirusTotalでチェックしてみると今回の検体を検出できるウィルス検索エンジンは現在のところ無い状態になっています。

Mughthesecの検体やLaunchAgentなどの情報は以下の通りなので、気になる方は対象のファイルを検索してみて下さい。

Indicators of Compromise

VirsTotalに登録された検体

Player.dmg – VirusTotal

LaunchAgent

~/Library/LaunchAgents/com.Mughthesec.plist
~/Library/Application Support/com.Mughthesec/Mughthesec

おまけ

　Objective-Seeのpatrickさんらは既にこの検体をAppleに報告したようで、Appleは2017年08月08日付けでAppleの認証を受けた開発者署名(ID)を利用しアプリの実行を抑制するGatekeeperのデータベースをアップデートしているので、詳細は不明ですがこのアップデートでMughthesecに利用されていた開発者IDが無効になっているかもしれません。