没想到,真的可以有 | 这款windows.exe文件竟然感染了Mac计算机-dmg文件

众所周知,EXE是用于Windows的官方可执行文件格式,仅在Windows平台上运行。通常情况下,试图在Mac或Linux操作系统上运行EXE文件都是不可能的任务。

然而,趋势科技的安全研究人员发现了一种EXE文件,它采用了一种新方法绕过Apple的macOS安全保护,并通过部署通常只在Windows计算机上运行的恶意EXE文件来感染Mac计算机。


没想到,真的可以有 | 这款windows.exe文件竟然感染了Mac计算机


研究人员发现了一些恶意macOS应用程序样本(.dmg)伪装成torrent网站上流行软件的安装程序,其中包括使用Mono框架编译的EXE应用程序,以使其与macOS兼容。

Mono是一个由Novell公司(由Xamarin发起)主持的项目,并由Miguel de lcaza领导的,一个致力于开创.NET在Linux上使用的开源工程。它允许开发人员创建跨平台的.NET应用程序,这些应用程序可以在所有支持的平台上运行,包括Linux,Windows和Mac OS X.

研究人员向外媒透露,这个恶意文件能够绕过Mac的内置保护机制(比如Gatekeeper),原因是因为Gatekeeper仅检查本机Mac文件而不会检查EXE文件,因此该EXE文件能轻易绕过编码签名检查和验证的步骤。

通常,运行任何Windows可执行文件都会导致macOS出错系统及其内置的保护机制(如Gatekeeper)也会跳过扫描.exe文件以查找任何恶意代码。


没想到,真的可以有 | 这款windows.exe文件竟然感染了Mac计算机


病毒样本是黑客伪装的Mac和Windows上流行的防火墙应用程序Little Snitch的安装程序,这个程序可以从各种torrent网站上下载。当安装程序执行时,主文件也会启动可执行文件,因为它是由包中包含的mono框架启用的,该框架允许跨平台(如OSX)执行Microsoft.net应用程序。

该恶意软件还扫描所有基础和已安装的应用程序,并用于收集目标Mac电脑的系统信息,并将其发送到攻击者控制的远程命令和控制服务器。

安装后,exe恶意软件还会下载并提示用户安装各种广告软件应用程序,其中一些应用程序伪装成Adobe Flash Media Player等应用程序。


没想到,真的可以有 | 这款windows.exe文件竟然感染了Mac计算机


一个广告软件正假装成一个常见的应用程序进行下载

在他们的分析中,研究人员发现与恶意软件相关的“没有特定的攻击模式”,但是他们的遥测数据显示,英国、澳大利亚、亚美尼亚、卢森堡、南非和美国的感染率最高,已经有蔓延开的趋势。

有趣的是,安全研究人员无法在Windows上运行相同的恶意EXE文件——试图在Windows上运行该文件会导致错误,这意味着该恶意软件是专门针对macOS用户设计的。


没想到,真的可以有 | 这款windows.exe文件竟然感染了Mac计算机


在Windows中执行此安装程序时发出的错误警告


研究人员推测,该恶意软件可以作为一种逃避技术,绕过一些内置的安全措施,用于其他攻击或感染,比如绕过数字认证检查。至少在当前,MacOS安全功能无法识别EXE的这一特性不被更改的情况下,我们认为网络犯罪分子仍在研究这款捆绑在app和torrent网站上的恶意软件的发展机会,因此我们将继续调查网络犯罪分子如何使用这些信息和程序。用户应避免或避免从未经验证的来源和网站下载文件、程序和软件,并应为其个人和企业系统安装多层保护机制。

保护自己免受此类恶意软件攻击的最佳方法是避免从torrent网站或任何不受信任的来源下载计算机上的应用程序,工具和其他文件。

推荐阅读