亚洲一区二区三区不卡在线播放,91精品国产91久久综合,精品日本亚洲一区二区三区

OS X那些事——惡意軟件是如何啟動的?

責任編輯：editor005

作者：vvun91e0n

2015-12-25 14:13:17

摘自：烏云知識庫

安全公司bit9發布的《2015: The Most Prolific Year for OS X Malware》報告指出，現在惡意軟件的啟動方式(Persistence Mechanisms)使用傳統Unix技術的越來越少，基本沒有了。

0x00 背景

前幾日，看了一份報告，是美國網絡安全公司bit9發布的：《2015: The Most Prolific Year for OS X Malware》

報告主要的內容就是說說2015年OS X平臺惡意軟件的情況。bit9的研究團隊進行了10周的分析研究，分析了1400個惡意軟件樣本。給出了下面這張圖，可見，2015年惡意軟件樣本數量是前5年惡意樣本數量之和的5倍。這估計要亮瞎蘋果公司的眼。Mac越來越火。也越來越不安全了。

　　報告指出的重點有：

現在惡意軟件的啟動方式(Persistence Mechanisms)使用傳統Unix技術的越來越少，基本沒有了。大部分惡意軟件使用OS X提供的新的啟動機制了。

感染持續增長，但是惡意軟件的復雜度卻不是太高。

主要的啟動方式有7種。

由于OS X平臺上惡意軟件多樣性不如windows平臺，所有相對的檢測方法就簡單一些，因為需要需要檢查的地方比windows平臺的要少。

0x01 啟動

接下來就來談談這啟動的事，看看是哪7種武器是黑客所喜歡的：

　　如上7種武器你知道幾種(大神就自動飄過)。

Launch daemons/agents

其實這兩種啟動方式可以一起介紹。啟動方式基本相同，只是有些區別而已。

這兩種方式都是蘋果官方提供的標準啟動方式。在官方手冊里面可以查詢到更詳細的介紹[link]。daemons和agents都是由launchd進程負責啟動的后臺作業。launchd是OS X系統用戶態的第一個進程。對應于其他UN*X系統中的init。負責直接或者間接的啟動系統中的其他進程。

　　從圖中可以看到daemons和agents都是由launchd進程啟動的。

daemons：守護程序，后臺服務，通常與用戶沒有交互。由系統自動啟動，不管是否有用戶登錄系統。

agent：代理程序，是一類特殊的守護程序，只有在用戶登錄的時候才啟動。可以和用戶有交互，還可以有GUI。

創建一個daemons或agent是非常簡單的，就是創建一個普通的二進制可執行文件。然后將自己的屬性列表文件(.plist)放置到daemons或agent的配置目錄中：

目錄用途

/System/Library/LaunchDaemons系統本身的守護程序

/Library/LaunchDaemons第三方程序的守護程序

/System/Library/LaunchAgents系統本身的代理程序

/Library/LaunchAgents第三方程序的代理程序，這個目錄通常為空

~/Library/LaunchAgents用戶自有的launch代理程序，是有對應的用戶才會執行

plist文件的結構可以查看手冊[link],下面給出了一個啟動計算器的plist文件。擁有鍵值為true的RunAtLoad鍵。

將此.plist文件拷貝到/Library/LaunchAgents目錄(拷貝之后的文件擁有者為root)，就可以在重啟后，自動啟動計算器。

可以使用

1sudo plutil -lint /path/to/com.test.plist

來檢測plist文件格式是否有問題。

plist中主要的字段和它的含義：

Label 用來在launchd中的一個唯一標識，類似于每一個程序都有一個identifies一樣。

UserName 指定運行啟動項的用戶，只有當Launchd 作為 root 用戶運行時，此項才適用。

GroupName 指定運行啟動項的組，只有當Launchd 作為 root 用戶運行時，此項才適用。

KeepAlive 這個key值是用來控制可執行文件是持續運行呢，還是滿足具體條件之后再啟動。默認值為false，也就是說滿足具體條件之后才啟動。當設置值為ture時，表明無條件的開啟可執行文件，并使之保持在整個系統運行周期內。

RunAtLoad 標識launchd在加載完該項服務之后立即啟動路徑指定的可執行文件。默認值為false。

Program 這個值用來指定進程的可執行文件的路徑。

ProgramArguments 如果未指定Program時就必須指定該項，包括可執行文件文件和運行的參數。

Cron job

Cron job是一個隨Unix而來的啟動機制。在OS X中已經不被推薦使用。蘋果公司推薦使用launchd命令來完成計劃任務。但是OS X仍然支持Cron。那黑客們當然不會嫌棄。

Cron可以用來在設定的時刻執行一個命令或是腳本。如果惡意軟件是python編寫的，可以直接運行python命令。

Cron服務使用crontab命令來控制。在目錄/usr/lib/cron/tabs目錄下會有對應的用戶名的配置文件。當然可以直接通過命令來進行配置。具體的可以查詢手冊[link]。

crontab可以直接讀取文件作為輸入來配置：

　　如圖用crontab加載文本persist

保存文本內容為：

*****open /Applications/Calculator.app

該配置為每分鐘執行open命令打開計算器。

　　上圖為文件格式，多個任務可以分多行給出，可以用#進行注釋。

還可以使用@reboot等配置來設置開機啟動。但是本人在OS X 10.10上測試開機啟動計算器沒有成功!用時間間隔來啟動時可以的。

可以用crontab參數

-l 查看當前的crontab配置。

-r 移除所有配置

-e 編輯配置

有兩種使用login item的方式：

使用shard file list。

使用Service Management framework。針對sandbox性能的程序[link]。

第一種方式：

使用第一種方式啟動的login items在系統偏好設置->用戶和群組>登錄項里面可以查看并設置

　　在這個界面可以添加，刪除登錄項。

這些登錄項的信息都保存在~/Library/Preferences/com.apple.loginitems.plist配置文件中，每一個啟動項對應一個字典，有Alias，Name等，其中Name是NSString類型，其它是Data類型，進行了base64，所以目前可以刪除。(手工添加有文章說可以，在OS X 10.10.x中筆者暫時沒有找到方法)。

另外就是通過程序來添加：

12345LSSharedFileListRef loginItems = LSSharedFileListCreate(NULL, kLSSharedFileListSessionLoginItems, NULL); //url為app所在的目錄

CFURLRef url = (CFURLRef)[NSURL fileURLWithPath:appPath];

LSSharedFileListItemRef item = LSSharedFileListInsertItemURL(loginItems, kLSSharedFileListItemLast, NULL, NULL, url, NULL, NULL);

CFRelease(item);

CFRelease(loginItems);

有的惡意軟件就是利用代碼添加login item的方式來實現自啟動的。

第二種方式：

使用login item的程序如果是用了沙盒技術就會因為權限問題無法使用第一種方式了。必須使用Service Management Framework。要求有兩個程序：一個主程序一個helper程序。helper程序存放在主程序的Contents/Library/LoginItems目錄下。主程序在運行時調用SMLoginItemSetEnabled()函數來設置helper程序為自啟動程序。具體可以參考[link] [link]。

注意：你的主程序必須在Application的目錄下，開機啟動的設置才會生效，否則會失敗

StartupItems

這是蘋果公司不推薦的啟動方法。但是在現在版本中還沒有失效。

一個Startup Item是一個特殊的文件。可以在系統boot進程中得到執行。

創建過程如下：

1，創建目錄

StartupItems存放在以下兩個路徑下：

/System/Library/StartupItems

/Library/StartupItems(默認情況下是不存在的，需要自己手動創建)

2，生成執行程序或腳本

程序或腳本必須和目錄名一樣，可執行文件需要獲得root權限。

一般使用shell script，因為其創建和更新更為簡單。