Newsgroup: it.comp.macintosh
Titolo: Cavallo di troia per pornomani


INTEGO SECURITY ALERT - October 31, 2007
OSX.RSPlug.A Trojan Horse Changes Local DNS Settings to
Redirect to Malicious DNS Servers
 
Exploit: OSX.RSPlug.A Trojan Horse
Discovered: October 30, 2007
Risk: Critical
Description: A malicious Trojan Horse has been found on several
pornography web sites, claiming to install a video codec necessary to
view free pornographic videos on Macs. A great deal of spam has been
posted to many Mac forums, in an attempt to lead users to these sites.
When the users arrive on one of the web sites, they see still photos
from reputed porn videos, and if they click on the stills, thinking they
can view the videos, they arrive on a web page that says the following:
Quicktime Player is unable to play movie file.
Please click here to download new version of codec.
After the page loads, a disk image (.dmg) file automatically downloads
to the user's Mac. If the user has checked Open "Safe" Files After
Downloading in Safari's General preferences (or similar settings in
other browsers), the disk image will mount, and the installer package it
contains will launch Installer. If not, and the user wishes to install
this codec, they double-click the disk image to mount it, then
double-click the package file, named install.pkg.
If the user then proceeds with installation, the Trojan horse installs;
installation requires an administrator's password, which grants the
Trojan horse full root privileges. No video codec is installed, and if
the user returns to the web site, they will simply come to the same page
and receive a new download.
This Trojan horse, a form of DNSChanger, uses a sophisticated method,
via the scutil command, to change the Mac's DNS server (the server that
is used to look up the correspondences between domain names and IP
addresses for web sites and other Internet services). When this new,
malicious, DNS server is active, it hijacks some web requests, leading
users to phishing web sites (for sites such as Ebay, PayPal and some
banks), or simply to web pages displaying ads for other pornographic web
sites. In the first case, users may think they are on legitimate sites
and enter a user name and password, a credit card, or an account number,
which will then be hijacked. In the latter case, it seems that this is
being done solely to generate ad revenue.
Under Mac OS X 10.4, there is no way to see the changed DNS server in
the operating system's GUI. Under Mac OS X 10.5, this can be seen in the
Advanced Network preferences; the added DNS servers are dimmed, and
cannot be removed manually. (Intego is currently testing previous
versions of Mac OS X; it is likely that they can be infected as well,
since all versions of Mac OS X have the scutil command.)
The Trojan horse also installs a root crontab which checks every minute
to ensure that its DNS server is still active. Since changing a network
location could change the DNS server, this cron job ensures that, in
such a case, the malicious DNS server remains the active server.
This Trojan horse also provides different versions of itself, perhaps
according to the country in which the user is located to provide
country-specific spoofing. Repeated downloads of the disk image show
that there are several different versions.
Means of protection: The best way to protect against this exploit is to
run Intego VirusBarrier X4 with its virus definitions dated October
31,2007. Intego VirusBarrier X4 eradicates the malicious code and
prevents the Trojan horse from being installed. Intego recommends that
users never download and install software from untrusted sources or
questionable web sites.
-- 
E l'ultimo chiuda la porta.


(a parte che e' in inglese :DD)
sara' vero?

   
se e' vero crolla un mito....e non mi va molto......
ok che "bisogna autorizzarlo" ma tanti utOnti, abituati al non esistere 
virus per mac.....ci cascherebbero no?

 virus per mac.....ci cascherebbero no?
Ti chiedi se milioni di utenti convinti di essere immuni da qualsiasi
minaccia alla sicurezza, rimbambiti da una campagna mediatica martellante e
irresponsabile, aprirebbero software di dubbia provenienza fornendogli la
password di amministratore? E' una domanda retorica?? :)
Il Mac OS non e' esente da falle e recentemente un bug di DiskImageMounter
in Tiger e' stato proficuamente utilizzato per ottenere privilegi di root. 
Si ricordi anche il bug di QuickTime player che eseguiva allegramente
script travestiti da filmato .mov non appena scaricati.
-- 
Ndi Nyina Wa Jambo

 Stai a vedere che se lo sono fatti loro il trojan, furboni.
la prima cosa che ho pensato anch'io ;-)
ciao
Vanni
-- 
Multistrada 1100S
==================
Think Different

 se e' vero crolla un mito....e non mi va molto......
Cioè che un amministratore di sistema può installare un programma 
dannoso?

Ora ho colto il punto divertente, l'associazione "pornomani" e "cavallo 
di _troia_"




 contains will launch Installer. 
  E qui il pensiero va al ventilato sistema di "firme" del software per
Mac OS X.
-- 
Nicola D'Agostino
<!-- 
http://www.nicoladagostino.net
 -->
<!-- 
http://www.storiediapple.it
 -->
<!-- 
http://www.nezmar.com
 -->

 Mac OS X.
Ma più che alle firme, allo scandaloso fatto che Mac OS X ora avvisa per
qualsiasi apertura di qualsiasi applicazione che riceve da Internet, ma
NON i pacchetti Installer. Uff.
-- 
 - ∞
-- 
http://infinite-labs.net

 roba piu' dannosa.
[cut]
Lo scopo del 99% del malware oggi circolante è *far soldi* fregando
l'utonto, non creare danno. Se il phishing più diffuso è quello per
Poste Italiane, un motivo ci sarà ;)
Comunque volevo chiedere una cosa: qui dicono "Under Mac OS X 10.4,
there is no way to see the changed DNS server in the operating
system's GUI". Cioè in Tiger si possono aggiungere dei server DNS
all'elenco presente nel pannello di controllo Network e non appaiono?
Ma verrebbero caricati prima o dopo quelli messi dall'utente ?
Mi sfugge altrimenti come funzionerebbe sto presunto trojan.
Gabriele

 se e' vero crolla un mito....e non mi va molto......
Te ne faccio crollare un altro. Apple ti fornisce con il sistema
operativo un pericolosissimo programma:
sudo rm -rf /
Provare per credere. O forse meglio credere e non provare.
-- 
blog:  
http://www.akropolix.net/rik0/blogs
 | Uccidete i filosofi,
site:  
http://www.akropolix.net/rik0/
      | tenetevi riso e
forum: 
http://www.akropolix.net/forum/
     | bacchette per voi.

 
Dai fava che poi qualcuno lo fa davvero...

 Dai fava che poi qualcuno lo fa davvero...
Via, ho anche scritto bello chiaro che è *pericolosissimo* e che forse è
meglio non provare :)
Poi ribadisco, se uno è tanto fesso da *eseguire* un comando trovato in
questo discorso, parlando di cose pericolose, credo che se lo meriti. :)
Meglio questo che il virus che *sicuramente* si prenderà. :)


 NON i pacchetti Installer. Uff.
cuoco
-- 
I've always been more concerned with users. )\._.,--....,'``.
Programmers do their work but once, while  /,   _.. \   _\  (`._._,
users are saddled with it ever thereafter. `_.-(,_..'--(,_..'`-.;.'

 vedere che esiste...
E poi il 31 ottobre, per halloween ;)
mah si vede che alla Intego hanno fantasia...
G.

 si autorizzano da soli.
anche su wuindos wista?

 qualsiasi apertura di qualsiasi applicazione che riceve da Internet
  Piccola divagazione: sul 10.4 avvisa dei file .php o ho avuto le
allucinazioni? :?


 wrote:

No, se autorizzi qualcosa di cui non conosci la fonte allora sei scemo e
i danni te li meriti.
Mah, gli utonti sono quelli che pensano che non ci sia *nulla* che possa
danneggiare il Mac.
-- 
Currently playing: Zone of the Enders [PS2] + Mario Kart DS [DS] +
   Super Metroid [Wii-VC]
iChat/AIM: Nai1105 - MSN: 
Nik...@email.it

 allucinazioni? :?
No. Fa anche con .rb, .pl, .sh...


 No. Fa anche con .rb, .pl, .sh...
  Grazie della conferma. :)
