MAC平台病毒大盘点：历史、现状及预测

　　最近计算机安全世界经历了一场震撼，有两个会感染 Macintosh 操作系统 (Mac OS) 的蠕虫被发现，而这种操作系统向来都很少遭到计算机病毒攻击。这两个会感染 Mac OS X 10.4 的蠕虫分别在 2 月 16 日与 17 日被发现，并且已被趋势科技定义为 OSX_LEAP.A 与 OSX_INQTANA.A。而短短三天之内，Safari 网页浏览器也在 2 月 20 日被发现含有安全弱点。这个安全弱点能允许下载的指令文件自动执行，因此可能成为零时差攻击利用的渠道。

　　第一波攻势

　　恶意程序在 Mac OS 上的第一波感染行动是通过 OSX_LEAP.A 来完成。它的行径类似 WORM_BROPIA 与 WORM_OPANKI 变种，会通过实时传讯程序来散播，像 MSN 与 AOL。值得注意的是，OSX_LEAP.A 用以传播的媒介应用程序是 Apple 的 iChat 传讯程序。它会使用这个应用程序将 “latestpics.tgz” 压缩文件传送给目标收件人。然而，我们发现了一些关于这只蠕虫如何散播的线索：收件人必须将压缩文件中的 “latestpics” 这个程序文件解压缩并执行它。因为它利用了通常是与图形文件关联的图标，所以使用者可能很容易上当而将上述程序解压缩。

　　感染模式

　　使用者通过 iChat 程序收到的蠕虫是一个名为 “latestpics.tgz” 的压缩文件。将压缩文件解压缩之后会产生两个文件：

　　• Latestpics Mac OS 恶意执行文件

　　• Latestpics 隐藏的资源文件，内含主要执行文件使用的图标。

　　“latestpics” 执行之后会将自己与资源文件复制到 /tmp 资料夹中，然后再将这两个文件重新封装为另一个名为 “latestpics.tgz” 的压缩文件。当散播行动被触发时，它就会将这个压缩文件传送出去。

　　接着它会删除下列任何一个资料夹中的 apphook 资料夹：

　　• LIBRARY/INPUTMANAGERS (如果是以 root 权限执行)

　　• ~/LIBRARY/INPUTMANAGERS (如果不是以 root 权限执行)

　　然后它会建立它自己的 Apphook 资料夹，其中包含下列文件：

　　• Info

　　• APPHOOK.BUNDLE

　　建立这个内含 apphook 的资料夹之后，只要有应用程序启就都会触发散播行动，将“latestpics.tgz” 压缩文件传送给在受害者 的 iChat 连络人清单中找到的使用者。

　　整个感染事件的根源可追溯至 macrumors.com，有一个自称 “Lasthope” 的使用者在此论坛中发布了一个连结 (http://forums.macrumors.com/showthread.php?t=180066)，并声称此连结中包含了下一版 Mac 操作系统的屏幕撷取画面。读者只要从这个连结下载文件并将它开启，就会遭病毒感染，出现异常的行为模式。张贴这些「照片」的使用者已经被这个网站停权，而恶意程序连结也被移除了。

　　事件发生之后，趋势科技已经向使用者发布建议，但是只将它列为低风险等级，因为文件必须要执行之后才会产生作用。关于这个恶意程序应归类为病毒、特洛依木马程序还是蠕虫，许多论坛都出现了激烈的辩论。

　　Apple 已经否认这是个安全威胁，声称这「不是病毒」，而是「使用者必须下载应用程序，并执行造成问题的文件才会发作的恶意软件」，此外他们还提供处理网络下载文件的安全指导方针 (http://docs.info.apple.com/article.html?artnum=108009)。