[macOS 挖矿病毒排查笔记] #macOS

note.md

行为描述

在 Google 上搜索「LOL 国服 Mac」后下载了一个 Build.zip，内含一个 .app 文件。

显示包内容后发现内部有一个编译后的 script 文件，编辑器打开并不能识别其内容。

运行 App 后会在 ~/Library/LaunchAgents 目录下添加两个文件：com.apple.Google.plist 和 com.apple.Yahoo.plist。其中第一个是真正的启动项配置，第二个其实是伪装为启动项配置的脚本文件。mac 启动后，会根据第一条配置中的内容启动第二个脚本，该脚本会不断运行 Safari 并打开一个空页面，内包含挖矿程序（有其他变种还会屏蔽用户打开 Activity Monitor），页面文件位置在 ~/Library/Safari 目录下，名称为 html.html。

删除方法

1. 删除 ~/Library/Safari 下的 html.html 和 mp3.mp3
2. 删除 ~/Library/LaunchAgents 下的 com.apple.Google.plist 和 com.apple.Yahoo.plist。
3. 重启

我当时感觉发热异常,用htop看了后台后就直接把那个plist给删了,不过我没有安装那个build.zip,可能是中了某个破解软件的招