NEWSBLITZ: Mac-Trojaner in Bilddatei? [2x upd.]  

Ein angeblicher Screenshot von Mac OS 10.5, der gestern im Mac Rumors-Forum verlinkt wurde (latestpics.tgz, latestpics.tgz.tar), hat sich als ausführbare Unix-Datei entpuppt, meldet MacRumors soeben. Nach einer ersten Untersuchung handelt es sich um einen Virus oder Trojaner bzw. um eine Datei, die den Eindruck eines solchen erwecken soll. Einige User haben das getarnte Programm offenbar nach Angabe ihres Admin-Passwortes ausgeführt: es dubliziert sich selbst, verbreitet sich über die OS X-Suchmaschine Spotlight auf dem Rechner, versucht sich per iChat zu versenden und injeziert Code in die nächsten vier aufgerufenen Anwendung. Was dieser Code bewirkt, ist unklar.

Die Threads zu den Untersuchungen laufen bei Ambrosia und Mac Rumors. Ob es sich tatsächlich um einen Trojaner oder um einen »gefakten Trojaner« handelt, ist nach wie vor unklar - es kann sich auch um einen falschen Alarm handeln. Vorsichtshalber sollte man diese Datei (latestpics.tgz, latestpics.tgz.tar) nicht herunterladen oder anklicken.

Andrew Welch ergänzt bei Ambrosia: »The executable itself has a number of interesting things embedded into various macho segments, including an entire Input Manager bundle called “apphook” (stored as “latestpics_hook.tar"); the string data is “protected” with a simple XOR to prevent easy reading of what it’s doing. It’s definitely trying to mask what it is doing in a number of ways, but is relatively simplistic in nature.«

Weitere Einzelheiten folgen. Da es für die Diskussion um diesen Fall von entscheidender Bedeutung zu sein scheint: hier die Definitionen für Viren und Trojaner.

[Update:] vorläufiges Fazit von Andrew Welch nach der Disassemblierung: es scheint, als ob sich die Datei lediglich selbst kopiert und verbreitet, ohne direkten Schaden anzurichten. Das Ganze wirke wie ein Versuch, dessen Ergebnisse später für einen echten Schädling benutzt werden könnten.

[Update 16:30 Uhr:] Sophos hat die selbstkopierende Datei als Wurm OSX/Leap-A klassifiziert, meldet die Washington Post; auch Slashdot berichtet. Spiegel Online schreibt: »Für Sophos dürfte bei der Warnung auch eine Rolle spielen, dass Mac-Rechner, die tatsächlich oft noch ohne Virenschutzsoftware sind, einen lukrativen, noch zu erschließenden Markt für die eigenen Produkte darstellen.«