Mac OS X: 再续〉安全警告，病毒就在你身边

1. 沉重

      这次心情很沉重！因为这个间谍软件居然和咱们中国又有着联系！联想到前些日子的Goolge对中国说不做恶，指责中国如何如何的，这些就不重复了，结果是那些外国老大粗门都认为中国人会做病毒，会通过木马盗取他们的私人信息，还有专门的黑客学校，甚至认为病毒都是中国造的等等，而这些意味着什么吗？意味着在他们眼里中国人就是evil. 因为他们大多数都是粗人，脑子直，听风就是雨，而且粪青情节很重，对他们解释什么都没有用，他们一方面绝对信任自己的媒体，一方面要把自己平时不满的发泄找到出路。很不幸，中国人成为了他们又一个发泄对象。

      这些就不多说了，回归本题，这里之所以说：和咱们中国又有着联系，也就是我不想妄加定论，虽然通过下面的技术分析的确是和杭州的一个服务器有关，但是我宁愿相信那是一个肉鸡，其实直接指向自己的服务器的做法，无疑是愚蠢的，自投罗网。如果真是肉鸡，那么大家真的要对电脑和网络安全增加重视，增强防范意识和措施，否则真成了被人卖了还替人数钱的傻瓜了。中国人都不傻，可能有的人被眼前的金钱诱惑，就把自己卖了。我说，下次把自己卖个好价钱，至少两辈子不用发愁吃穿住行，好不好？！

2. 技术

      上面都是感慨，不愿听愿意看技术的请从这里开始：

      首先说说如何比较彻底地移除这个间谍软件，执行下面的命令就可以了：

sudo launchctl unload -w /Library/LaunchDaemons/PremierOpinion.plist<br /> sudo rm /private/tmp/poinstaller<br /> sudo rm /private/tmp/script.sh<br /> sudo rm -rf /private/tmp/installtmp<br /> sudo rm -rf /private/tmp/autoupgrade<br /> sudo rm -rf /private/tmp/tapinstaller<br /> sudo rm -rf /Applications/PremierOpinion<br /> sudo rm /private/var/db/.AccessibilityAPIEnabled

      下面
说是如何查找来龙去脉的

      下载MishInc FLV To MP3 converter是一个.jar文件，unpack安装后，有一个同意条款页就是那个Premier * Opinion的，一旦你同意，它会生成下面两个文件/private/tmp
: script.sh和一个可执行文件
poinstaller, 一旦你连接上网，它会下载两个目录
installtmp
and tapinstaller，每个目录都保存有相同的内容
PremierOpinion
, installtmp
里有一个不同文件大小的poinstaller和
tapinstaller，包括
upgrade.xml文件，这个文件指向服务器
post.securestudies.com
的
rule14.xml
文件，而这个文件指向
PremierOpinion.zip
文件，这个就是最新的间谍软件的下载。

      如果仔细查看poinstaller，它里面还包括这个网站it.kingroutecn.com，同样是rule14.xml文件，里面却指向另外一个网占
PermissionResearch。而无论
Permission Research
还是
Premier
Opinion
，都在
ComScore
公司的地址范围内, 而且是同一个公司。这个可以通过whois来确认如下：

Registrant:<br /> TMRG, INC.<br /> 11950 Democracy Dr.<br /> Suite 600<br /> Reston, VA 20190<br /> US<br /> Domain Name: SECURESTUDIES.COM<br /> Administrative Contact, Technical Contact:<br /> Administrator, Domain<br /> TMRG, INC.<br /> 11950 Democracy Dr.<br /> Suite 600<br /> Reston, VA 20190<br /> US<br /> 703-438-2000 fax: 512-727-3144<br /> Record expires on 17-Aug-2010.<br /> Record created on 17-Aug-2005.<br /> Domain servers in listed order:<br /> DNS01.IAD.COMSCORE.COM 66.119.41.13<br /> DNS01.ORD.COMSCORE.COM 4.79.208.231<br /> DNS02.IAD.COMSCORE.COM 66.119.41.25<br /> DNS02.ORD.COMSCORE.COM 4.79.208.232

      重点

在这里而it.kingroutecn.com网站的地址是
218.108.8.85(不要使用ping,而是dig或者Windows的nslookup)
, kingroutecn.com域名是通过美国的一个域名公司
bluehost.com

注册的，
反向查找
它指向hidden-master.hzman.net服务器，再查找地址可以找到下面信息，其中明确指出，地址公司联系人等等
，如果谁可以联系到这家公司，请他们注意安全。

218.108.8.85 is from China(CN) in region Southern and Eastern Asia<br /> Whois query for 218.108.8.85...<br /> Results returned from whois.arin.net:<br /> OrgName: Asia Pacific Network Information Centre<br /> OrgID: APNIC<br /> Address: PO Box 2131<br /> City: Milton<br /> StateProv: QLD<br /> PostalCode: 4064<br /> Country: AU<br /> ReferralServer: whois://whois.apnic.net<br /> NetRange: 218.0.0.0 - 218.255.255.255<br /> CIDR: 218.0.0.0/8<br /> NetName: APNIC4<br /> NetHandle: NET-218-0-0-0-1<br /> Parent:<br /> NetType: Allocated to APNIC<br /> NameServer: NS1.APNIC.NET<br /> NameServer: NS3.APNIC.NET<br /> NameServer: NS4.APNIC.NET<br /> NameServer: NS-SEC.RIPE.NET<br /> NameServer: TINNIE.ARIN.NET<br /> Comment: This IP address range is not registered in the ARIN database.<br /> Comment: For details, refer to the APNIC Whois Database via<br /> Comment: WHOIS.APNIC.NET or http://wq.apnic.net/apnic-bin/whois.pl<br /> Comment: ** IMPORTANT NOTE: APNIC is the Regional Internet Registry<br /> Comment: for the Asia Pacific region. APNIC does not operate networks<br /> Comment: using this IP address range and is not able to investigate<br /> Comment: spam or abuse reports relating to these addresses. For more<br /> Comment: help, refer to http://www.apnic.net/apnic-info/whois_search2/abuse-and-spamming<br /> RegDate: 2000-12-07<br /> Updated: 2009-10-08<br /> OrgTechHandle: AWC12-ARIN<br /> OrgTechName: APNIC Whois Contact<br /> OrgTechPhone: +61 7 3858 3188<br /> OrgTechEmail: search-apnic-not-arin@apnic.net<br /> # ARIN WHOIS database, last updated 2010-06-03 20:00<br /> # Enter ? for additional hints on searching ARIN's WHOIS database.<br /> #<br /> # ARIN WHOIS data and services are subject to the Terms of Use<br /> # available at https://www.arin.net/whois_tou.html<br /> Results returned from whois.apnic.net:<br /> % [whois.apnic.net node-2]<br /> % Whois data copyright terms http://www.apnic.net/db/dbcopyright.html<br /> inetnum: 218.108.0.0 - 218.109.255.255<br /> netname: WASU<br /> descr: WASU TV & Communication Holding Co.,Ltd.<br /> descr: 6/F, Jian Gong Building, NO.20 Wen San Road, Hangzhou,<br /> descr: Zhejiang province, P.R.China 310012<br /> country: CN<br /> admin-c: XZ1291-AP<br /> tech-c: TF142-AP<br /> status: ALLOCATED PORTABLE<br /> mnt-by: MAINT-CNNIC-AP<br /> mnt-lower: MAINT-CNNIC-AP<br /> mnt-routes: MAINT-CNNIC-AP<br /> changed: hm-changed@apnic.net 20080123<br /> source: APNIC<br /> person: Xianlong Zeng<br /> nic-hdl: XZ1291-AP<br /> e-mail: allon@chinahcn.com<br /> address: No.9 ShuGuang Road,HangZhou City,ZheJiang Province<br /> phone: +86-0571-28958852<br /> fax-no: +86-0571-85214455<br /> country: CN<br /> changed: ipas@cnnic.cn 20071123<br /> mnt-by: MAINT-CNNIC-AP<br /> source: APNIC<br /> person: Tao Feng<br /> nic-hdl: TF142-AP<br /> e-mail: fengtao@chinahcn.com<br /> address: No.9 ShuGuang Road,HangZhou City,ZheJiang Province<br /> phone: +86-0571-28958888-8108<br /> fax-no: +86-0571-85214455<br /> country: CN<br /> changed: ipas@cnnic.cn 20100513<br /> mnt-by: MAINT-CNNIC-AP<br /> source: APNIC<br />

网络安全不是不丢孩子，搞不好会丢人。

Tony Liu, June 3, 2010深夜12:59am