¿Cómo rastrear y eliminar el malware de Mac que está llamando? [duplicar]

Question

¿Cómo rastrear y eliminar el malware de Mac que está llamando? [duplicar]

#1 de Wim Lewis (2 votos)
#2 de daniel Azuelos (1 votos)

3

Little Snitch periódicamente muestra un diálogo que dice:

El terminal a través del nodo desea aceptar una conexión entrante de X en el puerto 3000 (remoteware-cl).

X son diferentes IPs en Europa del Este. Un escaneo completo del sistema de Sophos no encontró el malware. Puedo determinar qué proceso está abriendo la conexión con lsof -i tcp:3000 . Una vez que tengo el pid, ¿cómo puedo determinar cómo se inició el proceso y cómo puedo eliminar lo que lo está iniciando / evitar que vuelva a comenzar?

malware unix macosx rootkits

pregunta John 12.08.2015 - 17:43

fuente

2 respuestas

Lea otras preguntas en las etiquetas malware unix macosx rootkits

¿Es seguro usar un PIN de 4 dígitos para el cifrado del sistema Android? XSS reflejado a través de $ _FILES

score 2 · Answer 1

ps l [pid] mostrará, entre otras cosas, el "ID del proceso principal" ( PPID ) del proceso. (Sin embargo, si el proceso principal ha salido, esa información se pierde y el PPID será 1.) ps eww [pid] enumerará sus variables de entorno, lo que puede dar una pista de dónde provino.

¿Estás seguro de que esto es malware y no es un comportamiento inesperado de algo que estás haciendo a propósito? ¿Ocurre incluso si no está ejecutando Terminal.app?

score 1 · Answer 2

(Esto es solo un complemento de la respuesta correcta de Wim Lewis .)

Una vez que tenga el pid de su proceso sospechoso, aquí hay algunos comandos para Ayudarte a analizar lo que este proceso podría estar haciendo. Digamos que almacenó este pid en la variable _pid .

lsof -p ${_pid}

le proporcionará todos los archivos abiertos now
opensnoop ${_pid}

le mostrará todos los archivos durante este proceso en ejecución

Con estas ubicaciones de archivos, podrás determinar bastante rápidamente si se trata de un programa legítimo o no.

Si la contabilidad del sistema está activada en su sistema, lastcomm también le proporcionará los procesos que se ejecutaron justo antes de este sospechoso. Además, lastcomm le mostrará si uno de estos procesos permitía una escalada de privilegios (observe el indicador S ). Desafortunadamente, lastcomm no proporciona los argumentos pasados a un programa ni a su entorno ( *argv , *envp ).