解码Mac恶意软件OSX/FruitFly：定制C&c服务器与安全威胁分析

在本文档中，我们将探讨"藏经阁"发布的Offensive Malware Analysis，特别关注名为"OSX/FruitFly"的恶意软件。此恶意软件被描述为一款利用人类和技术相结合的方式，旨在发现客户Web应用、移动应用、物联网设备以及基础设施端点的安全漏洞。"FruitFly"这个名字来源于一种策略，即通过定制的C&C (Command and Control) 服务器进行监控和任务分配，从而捕获并分析目标设备的行为。 文章的中心目标是深入剖析OSX/FruitFly恶意软件的特性，包括其命令执行功能，例如第0号命令"take screenshot"，以及后续可能的未知命令。这种恶意软件的特征还包括一个定制的C&C服务器（如.spy.com），它被设计用来窃取或借用其他用户的访问权限。主要任务包括监视和执行恶意软件的任务，并分析响应结果。 "OSX/FruitFly"最初是由Malwarebytes团队发现的，被认为是使用过时代码的新Mac后门，也被称为"QUIMITCHIN"。文档列出了该恶意软件的组成部分，如脚本和二进制文件，并提到了其持久性机制，通过LaunchAgent在Mac上保持运行。值得注意的是，尽管在1月11日提交给VirusTotal时，该样本没有被任何安全软件识别出（0次检测），但作者并未排除电子邮件作为可能的感染向量，或者是否存在其他类型的传播方式，比如trojan。 此外，文档还提及了恶意软件对系统资源的监控，包括摄像头、鼠标和键盘操作，这表明它具有相当全面的信息收集能力。为了进一步研究其行为模式和潜在危害，文中还提供了查看~/Library/LaunchAgents/目录的方法，可能包含与该恶意软件相关的启动项文件(com.cli)。 总结来说，这篇文章提供了一个深入的分析，揭示了OSX/FruitFly恶意软件的工作原理、攻击手段和潜在威胁，对于理解Mac平台上的新型威胁以及防御措施具有重要的参考价值。通过对这款后门程序的剖析，安全专业人员可以更好地识别和应对类似的威胁。