OS XのSafariのアップデートを装い、MacKeeperなどのインストールを行うアドウェアが出現。最新のSafariを強制的にインストールしOSの再インストールが必要な場合も。

　OS XのSafariのアップデートを装い、MacKeeperやZipCloudのインストールを行うインストーラーが出現したそうです。詳細は以下から。

新しいインストーラーの挙動

　Malwarebytes社のディレクターとなったThomas Reedさんによると「InstallCoreインストーラーが新しくなり、Safariのアップデートを装うようになっていた。このインストーラーは“First Row Sports”というスポーツのストリーミングサイトに出現し、

Last week, we discovered a new version of the InstallCore installer that displays an unpleasant new trick: it pretends to be a Safari update!

This new installer was obtained while visiting one of the “First Row Sports” scam sports streaming sites.

[Fake Safari update installs MacKeeper, ZipCloud – Malwarebytes]

　クリックすると“Apple Safari Setup.dmg”というファイルがダウンロードされ、実行するとYahooのサーチアシスタント拡張をインストールするように促され、次にMacKeeper、最後にZipCloudをインストールする」というもので、さらに面白いことにこのインストーラーは予告通り最新のSafariをOS Xのバージョンに関係なく強制的にインストールするそうです。

Clicking the Update Now button downloaded a disk image file named “Apple Safari Setup.dmg”.

[…]
Continuing with the installation resulted in being asked to accept the “Search-Assist” extension for Safari, with a big Yahoo! logo at the top of the window.

Next was acceptance of the installation of MacKeeper, though the text was relatively small and uniform, and the familiar MacKeeper logo was nowhere to be seen.

Finally, I had to accept the installation of ZipCloud.

[Fake Safari update installs MacKeeper, ZipCloud – Malwarebytes]

Yosemite以外もSafari 8を強制インストール

　ThomasさんがOS X 10.9.5 Mavericksで行ったチェックでは、Mavericksに使用されているSafariのバージョンはv7.xなのにも関わらず、このインストーラーはOS X 10.10 Yosemite向けに開発されているv8.xを強制的にインストールしたそうで、最終的にOS Xの再インストールを行わなければならない状態に追い込まれるそうです（OSがYosemiteの場合はどうなるかは不明）。

Most interestingly, however was the fact that this app also installed a newer version of Safari and a number of Safari’s support files!

This, of course, had the effect of completely breaking Safari on my 10.9.5 system, as the newer version (8.0.6) cannot run on that version of OS X.
[…]
It should not be necessary to erase your hard drive, simply reinstall on top of your existing system.
[Fake Safari update installs MacKeeper, ZipCloud – Malwarebytes]

　アドウェアの削除はAnti-Malwareなどを使用すれば削除できますが、Safariの置き換えを修正するにはThomasさんの指摘通りTime MachineやリカバリーパーティションからのOS Xの再インストールが必要となるので注意して下さい。

関連リンク：

• Fake Safari update installs MacKeeper, ZipCloud – Malwarebytes
• OS X用マルウェアのインストーラーが更に巧妙化。実際のMacか仮想環境かを判断し、実際のMacのみにマルウェアをインストール

ノートン セキュリティ 優待版 1年版(旧版・3台版) [CD-ROM]

シマンテック