अपने मैक को सुरक्षित रखें: नए सिल्वर स्पैरो मैलवेयर का पता लगाएं और हटाएं

यदि आप सोचते हैं कि आपका मैक मैलवेयर से सुरक्षित है, तो फिर से सोचें। मैलवेयर लेखक macOS सहित विभिन्न प्लेटफार्मों की कमजोरियों का फायदा उठाने में माहिर हो गए हैं। यह पिछले मैलवेयर संक्रमणों में स्पष्ट है जिन्होंने मैक को लक्षित किया, जिसमें श्लेयर मैलवेयर और टॉप रिजल्ट्स मैलवेयर शामिल हैं।

सिल्वर स्पैरो macOS मैलवेयर क्या है?

हाल ही में, रेड कैनरी, मालवेयरबाइट्स, और VMware कार्बन ब्लैक सुरक्षा शोधकर्ताओं ने एक नए macOS मैलवेयर की खोज की जिसने विश्व स्तर पर 40,000 से अधिक मैक को संक्रमित किया। इस नए खतरे का नाम सिल्वर स्पैरो है। मालवेयरबाइट्स के अनुसार, मैलवेयर 153 देशों में फैल गया है, जिसमें संयुक्त राज्य अमेरिका, यूनाइटेड किंगडम, कनाडा, फ्रांस और जर्मनी में उच्चतम सांद्रता है। यह स्पष्ट नहीं है कि इन 40,000 में से कितने M1 मैक हैं और हम वितरण के बारे में सटीक नहीं जानते।

शोधकर्ताओं ने नोट किया है कि भले ही सिल्वर स्पैरो संक्रमित डिवाइस के लिए एक उचित गंभीर खतरा पैदा करता है, यह सामान्य macOS एडवेयर से अपेक्षित दुर्भावनापूर्ण व्यवहार का प्रदर्शन नहीं करता है। यह मैलवेयर को अधिक हैरान करने वाला बनाता है क्योंकि सुरक्षा विशेषज्ञों को पता नहीं है कि मैलवेयर को क्या करने के लिए डिज़ाइन किया गया था।

हालांकि, शोधकर्ताओं ने देखा कि दुर्भावनापूर्ण सॉफ्टवेयर किसी भी समय एक दुर्भावनापूर्ण पेलोड वितरित करने के लिए तैयार रहा। जांच पर, सिल्वर स्पैरो macOS मैलवेयर स्ट्रेन ने संक्रमित उपकरणों पर कभी भी दुर्भावनापूर्ण पेलोड वितरित नहीं किया, लेकिन उन्होंने प्रभावित मैक उपयोगकर्ताओं को चेतावनी दी कि इसके निष्क्रिय व्यवहार के बावजूद यह अभी भी महत्वपूर्ण जोखिम पैदा करता है।

हालांकि शोधकर्ताओं ने सिल्वर स्पैरो को अतिरिक्त दुर्भावनापूर्ण पेलोड वितरित करते नहीं देखा, इसकी M1 चिप संगतता, वैश्विक पहुंच, उच्च संक्रमण दर, और परिचालन परिपक्वता सिल्वर स्पैरो को एक उचित गंभीर खतरा बनाती है। सुरक्षा विशेषज्ञों ने यह भी खोजा कि मैक मैलवेयर इंटेल और ऐप्पल सिलिकॉन दोनों प्रोसेसर के साथ संगत है।

सिल्वर स्पैरो मैलवेयर के विकास की एक मोटी समयरेखा यहां दी गई है:

• 18 अगस्त, 2020: मैलवेयर संस्करण 1 (गैर-M1 संस्करण) कॉलबैक डोमेन api.mobiletraits[.]com बनाया गया
• 31 अगस्त, 2020: मैलवेयर संस्करण 1 (गैर-M1 संस्करण) VirusTotal को सबमिट किया गया
• 2 सितंबर, 2020: मैलवेयर संस्करण 2 निष्पादन के दौरान देखी गई version.json फ़ाइल VirusTotal को सबमिट की गई
• 5 दिसंबर, 2020: मैलवेयर संस्करण 2 (M1 संस्करण) कॉलबैक डोमेन बनाया गया api.specialattributes[.]com
• 22 जनवरी, 2021: PKG फ़ाइल संस्करण 2 (M1 बाइनरी युक्त) VirusTotal को सबमिट की गई
• 26 जनवरी, 2021: रेड कैनरी ने सिल्वर स्पैरो मैलवेयर संस्करण 1 का पता लगाया
• 9 फरवरी, 2021: रेड कैनरी ने सिल्वर स्पैरो मैलवेयर संस्करण 2 (M1 संस्करण) का पता लगाया

सिल्वर स्पैरो मैलवेयर क्या करता है?

सुरक्षा फर्म रेड कैनरी ने नए मैलवेयर की खोज की, जो नए M1 प्रोसेसर से लैस मैक को लक्षित करता है। मैलवेयर का नाम सिल्वर स्पैरो है, और यह कमांड निष्पादित करने के लिए macOS इंस्टालर जावास्क्रिप्ट API का उपयोग करता है। यहां आपको क्या जानने की आवश्यकता है।

कोई निश्चित रूप से नहीं जानता। एक मैक पर एक बार सिल्वर स्पैरो एक घंटे में एक बार सर्वर से जुड़ता है। सुरक्षा शोधकर्ता चिंतित हैं कि यह एक बड़े हमले की तैयारी कर रहा हो।

सुरक्षा कंपनी रेड कैनरी का मानना है कि, जबकि सिल्वर स्पैरो ने अभी तक कोई दुर्भावनापूर्ण पेलोड वितरित नहीं किया है, यह एक काफी गंभीर खतरा पैदा कर सकता है।

मैलवेयर उल्लेखनीय हो गया है क्योंकि यह ऐप्पल के M1 चिप पर चलता है। इसका मतलब यह नहीं है कि अपराधी विशेष रूप से M1 मैक को लक्षित कर रहे हैं, बल्कि यह सुझाव देता है कि M1 मैक और इंटेल मैक दोनों संक्रमित हो सकते हैं।

जो ज्ञात है वह यह है कि संक्रमित कंप्यूटर हर घंटे एक सर्वर से संपर्क करते हैं, इसलिए यह एक बड़े हमले की तैयारी का कोई रूप हो सकता है।

मैलवेयर कमांड निष्पादित करने के लिए Mac OS इंस्टालर जावास्क्रिप्ट API का उपयोग करता है।

सुरक्षा कंपनी यह निर्धारित करने में अब तक असमर्थ रही है कि कमांड आगे किसी चीज़ की ओर कैसे ले जाते हैं, और इस प्रकार यह अभी भी अज्ञात है कि सिल्वर स्पैरो किस हद तक खतरा पैदा करता है। सुरक्षा कंपनी फिर भी मानती है कि मैलवेयर गंभीर है।

ऐप्पल की ओर से, कंपनी ने सिल्वर स्पैरो मैलवेयर से जुड़े पैकेज पर हस्ताक्षर करने के लिए उपयोग किए जाने वाले प्रमाणपत्र को रद्द कर दिया है।

ऐप्पल की नोटरी सेवा के बावजूद, macOS मैलवेयर डेवलपर्स ने नवीनतम ARM चिप का उपयोग करने वाले मैकबुक प्रो, मैकबुक एयर, और मैक मिनी सहित ऐप्पल उत्पादों को सफलतापूर्वक लक्षित किया है।

ऐप्पल दावा करता है कि उसके पास "उद्योग-अग्रणी" उपयोगकर्ता सुरक्षा तंत्र है लेकिन मैलवेयर खतरा फिर से सामने आता रहता है।

वास्तव में, ऐसा लगता है कि खतरे के अभिनेता पहले से ही खेल में आगे हैं, M1 चिप्स को उनकी प्रारंभिक अवस्था में लक्षित कर रहे हैं। यह कई वैध डेवलपर्स के बावजूद है जिन्होंने अपने एप्लिकेशन को नए प्लेटफॉर्म पर पोर्ट नहीं किया है।

सिल्वर स्पैरो macOS मैलवेयर इंटेल और ARM के लिए बाइनरी शिप करता है, AWS और Akamai CDN का उपयोग करता है

शोधकर्ताओं ने "क्लिपिंग सिल्वर स्पैरो विंग्स: आउटिंग macOS मैलवेयर बिफोर इट टेक्स फ्लाइट" ब्लॉग पोस्ट में सिल्वर स्पैरो के संचालन की व्याख्या की।

मैलवेयर का नया टुकड़ा दो बाइनरी में मौजूद है, इंटेल x86_64 प्रोसेसर को लक्षित करने वाला Mach-object फॉर्मेट और M1 मैक के लिए डिज़ाइन किया गया Mach-O बाइनरी।

macOS मैलवेयर "update.pkg" या "updater.pkg" नामक ऐप्पल इंस्टालर पैकेज के माध्यम से इंस्टॉल किया जाता है।

आर्काइव में जावास्क्रिप्ट कोड शामिल है जो इंस्टॉल स्क्रिप्ट के निष्पादन से पहले चलता है, उपयोगकर्ता को "निर्धारित करें कि सॉफ्टवेयर इंस्टॉल किया जा सकता है या नहीं" के लिए एक प्रोग्राम की अनुमति देने के लिए प्रेरित करता है।

यदि उपयोगकर्ता स्वीकार करता है, तो जावास्क्रिप्ट कोड verx.sh नामक एक स्क्रिप्ट इंस्टॉल करता है। इस बिंदु पर इंस्टॉलेशन प्रक्रिया को रोकना व्यर्थ है क्योंकि सिस्टम पहले से ही संक्रमित है, मालवेयरबाइट्स के अनुसार।

एक बार इंस्टॉल हो जाने पर, स्क्रिप्ट हर घंटे एक कमांड और कंट्रोल सर्वर से संपर्क करती है, कमांड या निष्पादित करने के लिए बाइनरी की जांच करती है।

कमांड और कंट्रोल सेंटर Amazon Web Services (AWS) और Akamai कंटेंट डिलीवरी नेटवर्क (CDN) इंफ्रास्ट्रक्चर पर चलता है। शोधकर्ताओं ने कहा कि क्लाउड इंफ्रास्ट्रक्चर का उपयोग वायरस को ब्लॉक करना कठिन बना देता है।

आश्चर्यजनक रूप से, शोधकर्ताओं ने अंतिम पेलोड की तैनाती का पता नहीं लगाया, इस प्रकार मैलवेयर का अंतिम लक्ष्य एक रहस्य बना हुआ है।

उन्होंने नोट किया कि शायद मैलवेयर कुछ शर्तों के पूरा होने की प्रतीक्षा कर रहा था। इसी तरह, यह संभवतः सुरक्षा शोधकर्ताओं द्वारा निगरानी किए जाने का पता लगा सकता है, इस प्रकार दुर्भावनापूर्ण पेलोड की तैनाती से बचा जा सकता है।

जब निष्पादित किया जाता है, तो इंटेल x86_64 बाइनरी "Hello World" प्रिंट करते हैं जबकि Mach-O बाइनरी "You did it!" प्रदर्शित करते हैं।

शोधकर्ताओं ने उन्हें "बायस्टैंडर बाइनरी" नाम दिया क्योंकि उन्होंने कोई दुर्भावनापूर्ण व्यवहार प्रदर्शित नहीं किया। इसके अलावा, macOS मैलवेयर में खुद को हटाने का एक तंत्र है, जो इसकी स्टील्थ क्षमताओं में इजाफा करता है।

हालांकि, उन्होंने नोट किया कि सेल्फ-रिमूव फीचर का उपयोग किसी भी संक्रमित डिवाइस पर कभी नहीं किया गया था। मैलवेयर इंस्टॉलेशन के बाद उस स्रोत URL को भी खोजता है जिससे इसे डाउनलोड किया गया था। उन्होंने तर्क दिया कि मैलवेयर डेवलपर्स यह ट्रैक करना चाहते थे कि कौन सा वितरण चैनल सबसे प्रभावी था।

शोधकर्ता यह पता नहीं लगा सके कि मैलवेयर कैसे वितरित किया गया था लेकिन संभावित वितरण चैनलों में नकली फ्लैश अपडेट, पायरेटेड सॉफ्टवेयर, दुर्भावनापूर्ण विज्ञापन, या वैध ऐप्स शामिल हैं।

साइबर अपराधी अपने हमलों के नियमों को परिभाषित करते हैं, और यह हम पर निर्भर है कि हम उनकी रणनीति के खिलाफ बचाव करें, तब भी जब वे रणनीति पूरी तरह से स्पष्ट न हों। यह सिल्वर स्पैरो के साथ स्थिति है, जो नए पहचाने गए मैलवेयर को macOS को लक्षित करता है। वर्तमान में, यह बहुत भयानक कुछ नहीं करता प्रतीत होता है, लेकिन यह उन रणनीतियों में अंतर्दृष्टि प्रदान कर सकता है जिनके खिलाफ हमें बचाव करना चाहिए।

सिल्वर स्पैरो मैलवेयर के तकनीकी विनिर्देश

शोधकर्ताओं की जांच के अनुसार, सिल्वर स्पैरो मैलवेयर के दो संस्करण हैं, जिन्हें "संस्करण 1" और "संस्करण 2" कहा जाता है।

मैलवेयर संस्करण 1

• फ़ाइल नाम: updater.pkg (v1 के लिए इंस्टालर पैकेज)
• MD5: 30c9bc7d40454e501c358f77449071aa

मैलवेयर संस्करण 2

• फ़ाइल नाम: update.pkg (v2 के लिए इंस्टालर पैकेज)
• MD5: fdd6fb2b1dfe07b0e57d4cbfef9c8149

डाउनलोड URL और स्क्रिप्ट टिप्पणियों में बदलाव के अलावा, दो मैलवेयर संस्करणों में केवल एक बड़ा अंतर था। पहला संस्करण केवल इंटेल x86_64 आर्किटेक्चर के लिए संकलित एक Mach-O बाइनरी शामिल करता था जबकि दूसरा संस्करण इंटेल x86_64 और M1 ARM64 दोनों आर्किटेक्चर के लिए संकलित एक Mach-O बाइनरी शामिल करता था। यह महत्वपूर्ण है क्योंकि M1 ARM64 आर्किटेक्चर नया है और नए प्लेटफॉर्म के लिए बहुत कम खतरे खोजे गए हैं।

संकलित Mach-O बाइनरी कुछ भी करते नहीं दिखते इसलिए उन्हें "बायस्टैंडर बाइनरी" कहा जाता है।

सिल्वर स्पैरो कैसे वितरित किया जाता है?

रिपोर्टों के आधार पर, बहुत सारे macOS खतरे दुर्भावनापूर्ण विज्ञापनों के माध्यम से PKG या DMG रूप में एकल, स्व-निहित इंस्टालर के रूप में वितरित किए जाते हैं, जो एक वैध एप्लिकेशन के रूप में प्रच्छन्न होते हैं—जैसे एडोब फ्लैश प्लेयर—या अपडेट के रूप में। इस मामले में, हालांकि, हमलावरों ने मैलवेयर को दो अलग-अलग पैकेज में वितरित किया: updater.pkg और update.pkg। दोनों संस्करण निष्पादित करने के लिए समान तकनीकों का उपयोग करते हैं, केवल बायस्टैंडर बाइनरी के संकलन में भिन्न होते हैं।

सिल्वर स्पैरो के बारे में एक अनूठी बात यह है कि इसके इंस्टालर पैकेज संदिग्ध कमांड निष्पादित करने के लिए macOS इंस्टालर जावास्क्रिप्ट API का लाभ उठाते हैं। जबकि कुछ वैध सॉफ्टवेयर भी ऐसा कर रहे हैं, यह पहली बार है जब मैलवेयर द्वारा ऐसा किया गया है। यह व्यवहार से एक विचलन है जिसे हम आमतौर पर दुर्भावनापूर्ण macOS इंस्टालर में देखते हैं, जो आमतौर पर कमांड निष्पादित करने के लिए प्रीइंस्टाल या पोस्टइंस्टाल स्क्रिप्ट का उपयोग करते हैं। प्रीइंस्टाल और पोस्टइंस्टाल मामलों में, इंस्टालेशन एक विशेष टेलीमेट्री पैटर्न उत्पन्न करता है जो निम्न जैसा दिखता है:

• पैरेंट प्रोसेस: package_script_service
• प्रोसेस: bash, zsh, sh, Python, या कोई अन्य इंटरप्रेटर
• कमांड लाइन: इसमें preinstall या postinstall होता है

यह टेलीमेट्री पैटर्न अपने आप में दुर्भावनापूर्णता का विशेष रूप से उच्च-विश्वसनीय संकेतक नहीं है क्योंकि वैध सॉफ्टवेयर भी स्क्रिप्ट का उपयोग करते हैं, लेकिन यह आम तौर पर प्रीइंस्टाल और पोस्टइंस्टाल स्क्रिप्ट का उपयोग करने वाले इंस्टालर की मज़बूती से पहचान करता है। सिल्वर स्पैरो पैकेज फ़ाइल के वितरण परिभाषा XML फ़ाइल में जावास्क्रिप्ट कमांड शामिल करके हमारी अपेक्षा से अलग है। यह एक अलग टेलीमेट्री पैटर्न उत्पन्न करता है:

• पैरेंट प्रोसेस: Installer
• प्रोसेस: bash

प्रीइंस्टाल और पोस्टइंस्टाल स्क्रिप्ट के साथ, यह टेलीमेट्री पैटर्न अपने आप में दुर्भावनापूर्ण व्यवहार की पहचान करने के लिए पर्याप्त नहीं है। प्रीइंस्टाल और पोस्टइंस्टाल स्क्रिप्ट में कमांड-लाइन आर्गुमेंट होते हैं जो वास्तव में क्या निष्पादित हो रहा है, इसमें सुराग देते हैं। दूसरी ओर, दुर्भावनापूर्ण जावास्क्रिप्ट कमांड, वैध macOS इंस्टालर प्रक्रिया का उपयोग करके चलते हैं और इंस्टालेशन पैकेज की सामग्री या वह पैकेज जावास्क्रिप्ट कमांड का उपयोग कैसे करता है, इसमें बहुत कम दृश्यता प्रदान करते हैं।

हम जानते हैं कि मैलवेयर ऐप्पल इंस्टालर पैकेज (.pkg फ़ाइलें) के माध्यम से इंस्टॉल किया गया था जिसे update.pkg या updater.pkg नाम दिया गया था। हालांकि, हम नहीं जानते कि ये फ़ाइलें उपयोगकर्ता तक कैसे पहुंचाई गईं।

इन .pkg फ़ाइलों में जावास्क्रिप्ट कोड शामिल था, इस तरह से कि कोड वास्तव में शुरू होने से पहले, शुरुआत में ही चलता। उपयोगकर्ता से तब पूछा जाता कि क्या वे एक प्रोग्राम को चलाने की अनुमति देना चाहते हैं "यह निर्धारित करने के लिए कि सॉफ्टवेयर इंस्टॉल किया जा सकता है या नहीं।"

सिल्वर स्पैरो का इंस्टालर उपयोगकर्ता को बताता है:

"यह पैकेज यह निर्धारित करने के लिए एक प्रोग्राम चलाएगा कि सॉफ्टवेयर इंस्टॉल किया जा सकता है या नहीं।"

इसका मतलब है कि, यदि आप Continue पर क्लिक करते हैं, लेकिन फिर बेहतर सोचते हैं और इंस्टालर को छोड़ देते हैं, तो बहुत देर हो चुकी होगी। आप पहले से ही संक्रमित होंगे।

दुर्भावनापूर्ण गतिविधि का एक और संकेत PlistBuddy प्रक्रिया थी जो आपके मैक पर एक LaunchAgent बना रही थी।

LaunchAgents launchd, macOS इनिशियलाइज़ेशन सिस्टम को समय-समय पर या स्वचालित रूप से कार्य निष्पादित करने का निर्देश देने का एक तरीका प्रदान करते हैं। उन्हें एंडपॉइंट पर किसी भी उपयोगकर्ता द्वारा लिखा जा सकता है, लेकिन वे आमतौर पर उन्हें लिखने वाले उपयोगकर्ता के रूप में भी निष्पादित होंगे।

macOS पर प्रॉपर्टी लिस्ट (plists) बनाने के कई तरीके हैं, और कभी-कभी हैकर्स अपनी जरूरतों को पूरा करने के लिए अलग-अलग तरीकों का उपयोग करते हैं। ऐसा ही एक तरीका PlistBuddy के माध्यम से है, एक बिल्ट-इन टूल जो आपको एंडपॉइंट पर विभिन्न प्रॉपर्टी लिस्ट बनाने की अनुमति देता है, जिसमें LaunchAgents शामिल हैं। कभी-कभी हैकर्स स्थिरता स्थापित करने के लिए PlistBuddy की ओर रुख करते हैं, और ऐसा करने से डिफेंडर्स EDR का उपयोग करके LaunchAgent की सामग्री का आसानी से निरीक्षण कर सकते हैं क्योंकि फ़ाइल के सभी गुण कमांड लाइन पर लिखने से पहले दिखाए जाते हैं।

सिल्वर स्पैरो के मामले में, ये plist की सामग्री लिखने वाले कमांड हैं:

• PlistBuddy -c "Add :Label string init_verx" ~/Library/Launchagents/init_verx.plist
• PlistBuddy -c "Add :RunAtLoad bool true" ~/Library/Launchagents/init_verx.plist
• PlistBuddy -c "Add :StartInterval integer 3600" ~/Library/Launchagents/init_verx.plist
• PlistBuddy -c "Add :ProgramArguments array" ~/Library/Launchagents/init_verx.plist
• PlistBuddy -c "Add :ProgramArguments:0 string '/bin/sh'" ~/Library/Launchagents/init_verx.plist
• PlistBuddy -c "Add :ProgramArguments:1 string -c" ~/Library/Launchagents/init_verx.plist

LaunchAgent Plist XML निम्नलिखित जैसा दिखेगा:

Label
init_verx
RunAtLoad
true
StartInterval
3600
ProgramArguments
'/bin/sh'
-c
"~/Library/Application\\ Support/verx_updater/verx.sh" [timestamp] [plist से डाउनलोड किया गया डेटा]

सिल्वर स्पैरो में एक फ़ाइल जांच भी शामिल है जो ~/Library/._insu की उपस्थिति की जांच करके सभी स्थिरता तंत्र और स्क्रिप्ट को हटाने का कारण बनती है। यदि फ़ाइल मौजूद है, तो सिल्वर स्पैरो अपने सभी घटकों को एंडपॉइंट से हटा देता है। मालवेयरबाइट्स से रिपोर्ट किए गए हैश (d41d8cd98f00b204e9800998ecf8427e) ने संकेत दिया कि ._insu फ़ाइल खाली थी।

if [ -f ~/Library/._insu ]
then
rm ~/Library/Launchagents/verx.plist
rm ~/Library/Launchagents/init_verx.plist
rm /tmp/version.json
rm /tmp/version.plist
rm /tmp/verx
rm -r ~/Library/Application\\ Support/verx_updater
rm /tmp/agent.sh
launchctl remove init_verx

इंस्टालेशन के अंत में, सिल्वर स्पैरो एक curl HTTP POST अनुरोध के लिए डेटा बनाने के लिए दो डिस्कवरी कमांड निष्पादित करता है जो इंगित करता है कि इंस्टालेशन हुआ। एक रिपोर्टिंग के लिए सिस्टम UUID प्राप्त करता है, और दूसरा मूल पैकेज फ़ाइल को डाउनलोड करने के लिए उपयोग किए गए URL को ढूंढता है।

एक sqlite3 क्वेरी निष्पादित करके, मैलवेयर मूल URL ढूंढता है जिससे PKG डाउनलोड किया गया था, जिससे साइबर अपराधियों को सफल वितरण चैनलों का अंदाजा मिलता है। हम आमतौर पर macOS पर दुर्भावनापूर्ण एडवेयर के साथ इस तरह की गतिविधि देखते हैं: sqlite3 sqlite3 ~/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV* 'select LSQuarantineDataURLString from LSQuarantineEvent where LSQuarantineDataURLString like "[redacted]" order by LSQuarantineTimeStamp desc'

मैक से सिल्वर स्पैरो मैलवेयर कैसे हटाएं

ऐप्पल ने सिल्वर स्पैरो मैलवेयर को इंस्टॉल करने में सक्षम डेवलपर प्रमाणपत्रों को ओवरराइड करने के लिए तुरंत कदम उठाए। इसलिए आगे इंस्टॉलेशन अब संभव नहीं होना चाहिए।

ऐप्पल के ग्राहक आमतौर पर मैलवेयर से सुरक्षित होते हैं क्योंकि मैक ऐप स्टोर के बाहर से डाउनलोड किए गए सभी सॉफ्टवेयर को नोटराइज़ करना आवश्यक होता है। इस मामले में ऐसा लगता है कि मैलवेयर लेखक पैकेज पर हस्ताक्षर करने के लिए उपयोग किए गए प्रमाणपत्र को प्राप्त करने में सक्षम थे।

इस प्रमाणपत्र के बिना मैलवेयर अब और कंप्यूटरों को संक्रमित नहीं कर सकता।

सिल्वर स्पैरो का पता लगाने का एक और तरीका संकेतकों की उपस्थिति की खोज करके पुष्टि करना है कि क्या आप सिल्वर स्पैरो संक्रमण या कुछ और से निपट रहे हैं:

• एक ऐसी प्रक्रिया देखें जो PlistBuddy को निष्पादित करती हुई प्रतीत होती है, साथ ही एक कमांड लाइन जिसमें निम्नलिखित शामिल हैं: LaunchAgents और RunAtLoad और true। यह एनालिटिक कई macOS मैलवेयर परिवारों को LaunchAgent स्थिरता स्थापित करते हुए खोजने में मदद करता है।
• एक ऐसी प्रक्रिया देखें जो sqlite3 को निष्पादित करती हुई प्रतीत होती है, साथ ही एक कमांड लाइन जिसमें शामिल है: LSQuarantine। यह एनालिटिक कई macOS मैलवेयर परिवारों को डाउनलोड की गई फ़ाइलों के लिए मेटाडेटा में हेरफेर या खोज करते हुए खोजने में मदद करता है।
• एक ऐसी प्रक्रिया देखें जो curl को निष्पादित करती हुई प्रतीत होती है, साथ ही एक कमांड लाइन जिसमें शामिल है: s3.amazonaws.com। यह एनालिटिक कई macOS मैलवेयर परिवारों को वितरण के लिए S3 बकेट का उपयोग करते हुए खोजने में मदद करता है।

इन फ़ाइलों की उपस्थिति भी इंगित करती है कि आपका डिवाइस सिल्वर स्पैरो मैलवेयर के संस्करण 1 या संस्करण 2 से समझौता किया गया है:

• ~/Library/._insu (मैलवेयर को खुद को हटाने का संकेत देने के लिए उपयोग की जाने वाली खाली फ़ाइल)
• /tmp/agent.sh (इंस्टालेशन कॉलबैक के लिए निष्पादित शेल स्क्रिप्ट)
• /tmp/version.json (S3 से डाउनलोड की गई फ़ाइल जो निष्पादन प्रवाह निर्धारित करती है)
• /tmp/version.plist (version.json को प्रॉपर्टी लिस्ट में परिवर्तित किया गया)

मैलवेयर संस्करण 1 के लिए:

• फ़ाइल नाम: updater.pkg (v1 के लिए इंस्टालर पैकेज) या updater (v1 पैकेज में बायस्टैंडर Mach-O इंटेल बाइनरी)
• MD5: 30c9bc7d40454e501c358f77449071aa या c668003c9c5b1689ba47a431512b03cc
• s3.amazonaws[.]com (v1 के लिए version.json रखने वाला S3 बकेट)
• ~/Library/Application Support/agent_updater/agent.sh (v1 स्क्रिप्ट जो हर घंटे निष्पादित होती है)
• /tmp/agent (वितरित होने पर अंतिम v1 पेलोड वाली फ़ाइल)
• ~/Library/Launchagents/agent.plist (v1 स्थिरता तंत्र)
• ~/Library/Launchagents/init_agent.plist (v1 स्थिरता तंत्र)
• डेवलपर आईडी Saotia Seay (5834W6MYX3) – v1 बायस्टैंडर बाइनरी हस्ताक्षर ऐप्पल द्वारा रद्द किया गया

मैलवेयर संस्करण 2 के लिए:

• फ़ाइल नाम: update.pkg (v2 के लिए इंस्टालर पैकेज) या tasker.app/Contents/MacOS/tasker (v2 में बायस्टैंडर Mach-O इंटेल और M1 बाइनरी)
• MD5: fdd6fb2b1dfe07b0e57d4cbfef9c8149 या b370191228fef82635e39a137be470af
• s3.amazonaws[.]com (v2 के लिए version.json रखने वाला S3 बकेट)
• ~/Library/Application Support/verx_updater/verx.sh (v2 स्क्रिप्ट जो हर घंटे निष्पादित होती है)
• /tmp/verx (वितरित होने पर अंतिम v2 पेलोड वाली फ़ाइल)
• ~/Library/Launchagents/verx.plist (v2 स्थिरता तंत्र)
• ~/Library/Launchagents/init_verx.plist (v2 स्थिरता तंत्र)
• डेवलपर आईडी Julie Willey (MSZ3ZH74RK) – v2 बायस्टैंडर बाइनरी हस्ताक्षर ऐप्पल द्वारा रद्द किया गया

सिल्वर स्पैरो मैलवेयर को हटाने के लिए, ये वे चरण हैं जो आप कर सकते हैं:

1. एंटी-मैलवेयर सॉफ्टवेयर का उपयोग करके स्कैन करें।

आपके कंप्यूटर पर मैलवेयर के खिलाफ सबसे अच्छा बचाव हमेशा Outbyte AVarmor जैसे विश्वसनीय एंटी-मैलवेयर सॉफ्टवेयर होगा। कारण सरल है, एक एंटी-मैलवेयर सॉफ्टवेयर आपके पूरे कंप्यूटर को स्कैन करता है, किसी भी संदिग्ध प्रोग्राम का पता लगाता है और उन्हें हटा देता है, चाहे वे कितनी भी अच्छी तरह छिपे हों। मैन्युअल रूप से मैलवेयर हटाना काम कर सकता है, लेकिन हमेशा संभावना रहती है कि आप कुछ चूक जाएं। एक अच्छा एंटी-मैलवेयर प्रोग्राम नहीं चूकता।

2. सिल्वर स्पैरो प्रोग्राम, फाइलें और फोल्डर हटाएं।

अपने मैक पर सिल्वर स्पैरो मैलवेयर को हटाने के लिए, पहले एक्टिविटी मॉनिटर पर नेविगेट करें और किसी भी संदिग्ध प्रक्रिया को मार दें। अन्यथा, जब आप इसे हटाने का प्रयास करेंगे तो आपको त्रुटि संदेश मिलेंगे। एक्टिविटी मॉनिटर तक पहुंचने के लिए, निम्नलिखित चरण लें:

1. Finder खोलें।
2. Applications > Utilities > Activity Monitor पर जाएं।
3. एक्टिविटी मॉनिटर पर, चल रही प्रक्रियाओं को देखें। यदि उनमें से कोई संदिग्ध या अपरिचित दिखाई देता है, तो उसे छोड़ दें। प्रक्रिया की आगे जांच के लिए, आप इसे माउस से हाइलाइट कर सकते हैं और फ़ाइल स्थान देखने के लिए इस पर राइट-क्लिक कर सकते हैं।

किसी भी संदिग्ध प्रोग्राम को हटाने के बाद, आपको मैलवेयर-संबंधी फाइलों और फोल्डर को भी हटाना होगा। निम्नलिखित चरण लेने हैं:

1. Finder के Go to Folder विकल्प का उपयोग करके, /Library/LaunchAgents फोल्डर पर नेविगेट करें। इस फोल्डर के अंदर, सिल्वर स्पैरो से जुड़ी किसी भी संदिग्ध फाइल को देखें। इस प्रकृति की फाइलों के उदाहरणों में "myppes.download.plist", "mykotlerino.ltvbit.plist" और "installmac.AppRemoval.plist" शामिल हैं। पहचान में मदद के लिए, सामान्य स्ट्रिंग वाली फाइलों को देखें।
2. Finder का उपयोग करके /Library/Application Support फोल्डर पर नेविगेट करें। यहां, संदिग्ध फाइलों को देखें, विशेष रूप से उन अनुप्रयोगों से संबंधित जिन्हें आपने Applications ऐप का उपयोग करके हटा दिया था। इन्हें हटाने से सिल्वर स्पैरो को भविष्य में फिर से उभरने से रोका जा सकेगा।
3. /Library/LaunchDaemons फोल्डर पर नेविगेट करें और किसी भी संदिग्ध फाइल को देखें। सिल्वर स्पैरो मैलवेयर से जुड़े संदिग्ध फाइलों के उदाहरणों में "com.myppes.net-preferences.plist", "com.kuklorest.net-preferences.plist", "com.aoudad.net-preferences.plist" और "com.avickUpd.plist" शामिल हैं। इन फाइलों को ट्रैश में ले जाएं।

3. यदि लागू हो तो किसी भी सिल्वर स्पैरो ब्राउज़र एक्सटेंशन को अनइंस्टॉल करें।

अपने कंप्यूटर की हार्ड ड्राइव से मैलवेयर को मैन्युअल रूप से हटाने के बाद, आपको किसी भी टॉप रिजल्ट्स ब्राउज़र एक्सटेंशन को भी अनइंस्टॉल करना होगा। आपके द्वारा उपयोग किए जा रहे ब्राउज़र पर Settings > Extensions पर जाएं और किसी भी एक्सटेंशन को हटा दें जिससे आप परिचित नहीं हैं। वैकल्पिक रूप से, आप अपने ब्राउज़र को डिफ़ॉल्ट पर रीसेट कर सकते हैं क्योंकि यह किसी भी एक्सटेंशन को भी हटा देगा।

सारांश

सिल्वर स्पैरो मैलवेयर रहस्यमय बना हुआ है क्योंकि यह लंबे समय के बाद भी अतिरिक्त पेलोड डाउनलोड नहीं करता है। इसका मतलब है कि हमें पता नहीं है कि मैलवेयर को क्या करने के लिए डिज़ाइन किया गया था, जिससे मैक उपयोगकर्ता और सुरक्षा विशेषज्ञ इस बात को लेकर हैरान हैं कि इसका उद्देश्य क्या है। दुर्भावनापूर्ण गतिविधियों की कमी के बावजूद, मैलवेयर की उपस्थिति स्वयं संक्रमित उपकरणों के लिए खतरा पैदा करती है। इसलिए, इसे तुरंत हटा दिया जाना चाहिए और इसके सभी निशान हटा दिए जाने चाहिए।