软件破解站分发带毒软件专门攻击Mac用户 请Mac用户立即自查
内容提要
中国安天监测到一组利用非官方软件下载站进行的Mac攻击案例，黑客通过下载站投放病毒软件入侵企业网络，目的是窃取数据。建议用户检查是否中招。
延伸解读
攻击链条与目标
攻击者通过非官方下载站分发带毒的Mac破解软件，用户下载后植入后门，进而入侵企业内网横向移动，最终窃取数据。被针对的软件如SecureCRT、FinalShell、Navicat等均为开发和运维工具，表明攻击者重点瞄准运维人员，以获取服务器权限。
与金华矜贵的关联
MACYY.CN被指与金华市矜贵网络科技有限公司有关，该公司此前收购Lnmp.org和oneinstack并植入后门。此次攻击行为与深信服2023年发现的黑产团伙关联，均指向同一公司。这种连续收购并投毒的手法显示其供应链攻击模式。
自查与排查建议
若曾从MACYY等下载站下载过上述破解软件，应尽快自查。Mac用户检查/tmp/和/Users/Shared/目录下是否存在.test、.fseventsd文件，并确认是否开机自启；Linux用户检查/usr/sbin/cron是否被改动，以及依赖库中是否存在libdb.so.2文件，可核对MD5或改动时间。
Q&A
Mac用户如何自查是否感染了通过破解软件传播的病毒？
可以检查 /tmp/ 目录中是否存在 .test、.fseventsd 文件，检查 /Users/Shared/ 目录中是否存在 .fseventsd 文件，并检查该文件是否被设置为开机自启动。
哪些软件被植入了后门？
被植入后门的软件包括 SecureCRT、FinalShell、Navicat、UltraEdit、Microsoft Remote Desktop。
黑客利用非官方下载站攻击Mac用户的目的是什么？
黑客的目的是通过下载站投放携带病毒的软件来入侵Mac，成功入侵后再通过其他工具在企业内部网络中进行横向传播，最后窃取数据、导致信息泄露和长期监视。
MACYY.CN与金华矜贵公司有什么关系？
MACYY.CN似乎被金华市矜贵网络科技有限公司收购，该公司曾收购Lnmp.org和oneinstack并在其安装包中添加后门程序。
Linux系统下如何检查是否被植入后门？
检查 /usr/sbin/cron（或 crond）文件近期是否被改动；检查其依赖的动态链接库中是否存在 libdb.so.2 文件；检查 libdb.so.2 文件的 MD5 是否为 F23ED5D991CF0C8AA8378774E8FA93FE，或检查其改动时间是否与 /usr/sbin/cron（或 crond）文件的改动时间相近。
此次攻击与深信服发现的黑产团伙有何关联？
此次安天发现的攻击行为与深信服此前发现的黑产团伙能够关联起来，背后都指向金华矜贵公司，深信服也发现该团伙利用多种攻击手段针对运维人员进行攻击。
