আপনার Mac রক্ষা করুন: নতুন Silver Sparrow ম্যালওয়্যার ডিটেক্ট ও রিমুভ করার পদ্ধতি

আপনি যদি চিনেন যে আপনার Mac ম্যালওয়্যার থেকে সুরক্ষিত, আবার ভাবুন। ম্যালওয়্যার লেখকরা বিভিন্ন প্ল্যাটফর্মের ভার্নারেবিলিটি এক্সপ্লয়িট করতে পারদ 되었다, macOS সহ। এটি পূর্বের ম্যালওয়্যার ইনফেকশন থেকে স্পষ্ট যা Mac-কে টার্গেট করেছিল, Shlayer ম্যালওয়্যার এবং Top Results ম্যালওয়্যার সহ।

Silver Sparrow macOS ম্যালওয়্যার কী?

সাম্প্রতিকভাবে, Red Canary, Malwarebytes, এবং VMware Carbon Black সিকিউরিটি গবেষকরা একটি নতুন macOS ম্যালওয়্যার আবিষ্কার করেছেন যা বিশ্বব্যাপী ৪০,০০০টির বেশি Mac সংক্রমিত করেছে। এই নতুন হুমকির নাম Silver Sparrow। Malwarebytes অনুযায়ী, ম্যালওয়্যারটি ১৫৩ দেশে ছড়িয়ে পড়েছে, যুক্তরাষ্ট্র, যুক্তরাজ্য, কানাডা, ফ্রান্স, এবং জার্মানি সর্বোচ্চ কনসেন্ট্রেশন সাথে। এটা অস্পষ্ট কতগুলো এই ৪০,০০০ M1 Mac এবং আমরা সঠিকভাবে ডিস্ট্রিবিউশন কেমন তা জানি না।

গবেষকরা লক্ষ্য করেছেন যে যদিও Silver Sparrow সংক্রমিত ডিভাইসের জন্য একটি যুক্তিসঙ্গত সিরিয়াস হুমকি costituisce, এটি সাধারণ macOS অ্যাডওয়্যারের থেকে আশা করা ম্যালিশিয়াল আচরণ প্রদর্শন করে না। এটা ম্যালওয়্যারকে আরও ব uits করে তোলে কারণ সিকিউরিটি এক্সপার্টরা কিছুই জানেন না ম্যালওয়্যারটি কী করার জন্য ডিজাইন করা হয়েছিল।

যাইহোক, গবেষকরা লক্ষ্য করেছেন যে ম্যালিশিয়াল সফটওয়্যার যেকোনো সময় একটি ম্যালিশিয়াল পেলোড ডেলিভার করার জন্য প্রস্তুত থাকে। তদন্তে, Silver Sparrow macOS ম্যালওয়্যার স্ট্রেইন সংক্রমিত ডিভাইসে কখনো ম্যালিশিয়াল পেলোড ডেলিভার করেছে না, কিন্তু তারা প্রভাবিত Mac ব্যবহারকারীদের সতর্ক করলেন যে এটা সত্যিকারের সিরিয়াস রিস্ক ধারণ করে এর ডরম্যান্ট আচরণের পরেও।

গবেষকরা Silver Sparrow অতিরিক্ত ম্যালিশিয়াল পেলোড ডেলিভার করছে না তা পর্যবেক্ষণ করলেও, এর M1 চিপ কম্প্যাটিবিলিটি, গ্লোবাল রিচ, উচ্চ ইনফেকশন রেট, এবং অপারেশনাল ম্যাচুরিটি Silver Sparrowকে একটি যুক্তিসঙ্গত সিরিয়াস হুমকি বানায়। সিকিউরিটি এক্সপার্টরা আবিষ্কার করেছেন যে Mac ম্যালওয়্যারটি Intel এবং Apple Silicon প্রসেসর উভয়ের সাথে কম্প্যাটিবল।

Silver Sparrow ম্যালওয়্যারের বিবর্তনের একটি মোটামুটি টাইমলাইন:

• ১৮ আগস্ট, ২০২০: ম্যালওয়্যার ভার্সন ১ (non-M1 ভার্সন) কলব্যাক ডোমেন api.mobiletraits[.]com তৈরি
• ৩১ আগস্ট, ২০২০: ম্যালওয়্যার ভার্সন ১ (non-M1 ভার্সন) VirusTotal-এ সাবমিট
• ২ সেপ্টেম্বর, ২০২০: version.json ফাইল ম্যালওয়্যার ভার্সন ২ এক্সিকিউশন সময় VirusTotal-এ সাবমিট দেখা গেল
• ৫ ডিসেম্বর, ২০২০: ম্যালওয়্যার ভার্সন ২ (M1 ভার্সন) কলব্যাক ডোমেন তৈরি api.specialattributes[.]com তৈরি
• ২২ জানুয়ারি, ২০২১: PKG ফাইল ভার্সন ২ (M1 বাইনারি ধারণকারী) VirusTotal-এ সাবমিট
• ২৬ জানুয়ারি, ২০২১: Red Canary Silver Sparrow ম্যালওয়্যার ভার্সন ১ ডিটেক্ট করে
• ৯ ফেব্রুয়ারি, ২০২১: Red Canary Silver Sparrow ম্যালওয়্যার ভার্সন ২ (M1 ভার্সন) ডিটেক্ট করে

Silver Sparrow ম্যালওয়্যার কী করে?

সিকিউরিটি ফার্ম Red Canary নতুন ম্যালওয়্যার আবিষ্কার করেছে, যা নতুন M1 প্রসেসর সজ্জিত Mac-কে টার্গেট করে। ম্যালওয়্যারটির নাম Silver Sparrow, এবং এটি macOS Installer Javascript API ব্যবহার করে কমান্ড এক্সিকিউট করে। আপনার জানা দরকার:

কেউ জানে নিশ্চিত। একবার Mac-এ Silver Sparrow সার্ভারের সাথে ঘন্টায় একবার কানেক্ট করে। সিকিউরিটি গবেষকরা চিন্তিত যে এটা একটি বড় আক্রমণের জন্য গئরিং আপ होইতে পারে।

সিকিউরিটি কোম্পানি Red Canary মনে করে যে, যদিও Silver Sparrow এখনো ম্যালিশিয়াল পেলোড ডেলিভার করেছে না, এটি একটি যথেষ্ট সিরিয়াস হুমকি পেশ করতে পারে।

ম্যালওয়্যারটি ملحوظة হয়ে উঠেছে কারণ এটি Apple-এর M1 চিপে চলে। সেটি অনিবার্যভাবে ইঙ্গিত করে না যে ক্রিমিনালরা স্পেসিফিক্যালি M1 Mac-কে টার্গেট করছে, বরং ইঙ্গিত করে যে M1 Mac এবং Intel Mac উভয়ই সংক্রমিত হতে পারে।

যে কথা জানা আছে সেটি হলো সংক্রমিত কম্পিউটারগুলো ঘন্টায় একবার একটি সার্ভারের সাথে যোগাযোগ করে, তাই এটা হয়তো একটি বড় আক্রমণের জন্য প্রস্তুতির কিছু রূপ।

ম্যালওয়্যারটি Mac OS Installer Javascript API ব্যবহার করে কমান্ড এক্সিকিউট করে।

সিকিউরিটি কোম্পানিটি এতক্ষণে নির্ধারণ করতে পারেনি কীভাবে কমান্ডগুলো আরও কিছুতে লিড করে, এবং এটা এখনও অজানা Silver Sparrow কতটুকু হুমকি পেশ করে। সিকিউরিটি কোম্পানিটি তবুও মনে করে যে ম্যালওয়্যারটি সিরিয়াস।

Apple পক্ষ থেকে, কোম্পানিটি সার্টিফিকেট রিভোক করেছে যা Silver Sparrow ম্যালওয়্যার সাথে জড়িত প্যাকেজ সাইন করতে ব্যবহৃত হতো।

Apple-এর নোটারি সার্ভিসের باয়जूद, macOS ম্যালওয়্যার ডেভেলপাররা সফলভাবে Apple প্রোডাক্টসকে টার্গেট করেছে, নতুন ARM চিপ ব্যবহারকারী MacBook Pro, MacBook Air, এবং Mac Mini সহ।

Apple দাবি করে তাদের কাছে একটি "ইন্ডাস্ট্রি-লিডিং" ইউজার প্রটেকশন মেকানিজম আছে কিন্তু ম্যালওয়্যার হুমকি বারবার রিসার্ফেস করছে।

বিগত, হুমকি এক্টররা ইতিমধ্যে গেমের সামনে, তাদের শৈশবে M1 চিপ টার্গেট করছে। এটা অবিশ্বাস্য হলেও অনেক লেজিটিমেট ডেভেলপার তাদের অ্যাপ্লিকেশন নতুন প্ল্যাটফর্মে পোর্ট করেনি।

Silver Sparrow macOS ম্যালওয়্যার Intel এবং ARM-এর জন্য বাইনারি শিপ করে, AWS এবং Akamai CDN ব্যবহার করে

গবেষকরা Silver Sparrow-এর অপারেশন "Clipping Silver Sparrow's wings: Outing macOS malware before it takes flight" ব্লগ পোস্টে ব্যাখ্যা করেছেন।

নতুন ম্যালওয়্যার টুকরো দুটি বাইনারিতে অস্তিত্ব রক্ষা করে, Mach-object ফরম্যাট Intel x86_64 প্রসেসর টার্গেট করে এবং Mach-O বাইনারি M1 Mac-के জন্য ডিজাইন করা।

macOS ম্যালওয়্যারটি Apple ইনস্টলার প্যাকেজের মাধ্যমে ইনস্টল হয় যাদের নাম "update.pkg" বা "updater.pkg"।

আর্কাইভগুলো জাভাস্ক্রিপ্ট কোড ধারণ করে যা ইনস্টল স্ক্রিপ্ট এক্সিকিউট হওয়ার আগে চলে, ব্যবহারকারীকে একটি প্রোগ্রাম "নির্ধারণ করতে দিন যদি সফটওয়্যারটি ইনস্টল করা যেতে পারে" সেটি অনুমতি দিতে প্রম্পট করে।

যদি ব্যবহারকারী এক্সেপ্ট করে, জাভাস্ক্রিপ্ট কোড verx.sh নামে একটি স্ক্রিপ্ট ইনস্টল করে। এই মুহূর্তে ইনস্টলেশন প্রক্রিয়া এবর্ট করলে ফ্যাটাল কারণ সিস্টেম ইতিমধ্যে সংক্রমিত, Malwarebytes অনুযায়ী।

ইনস্টল হওয়ার পর, স্ক্রিপ্ট একটি কমান্ড অ্যান্ড কন্ট্রোল সার্ভারের সাথে প্রতি ঘন্টা যোগাযোগ করে, কমান্ড বা বাইনারি এক্সিকিউট করার জন্য চেক করে।

কমান্ড অ্যান্ড কন্ট্রোল সেন্টার Amazon Web Services (AWS) এবং Akamai কন্টেন্ট ডেলিভারি নেটওয়ার্ক (CDN) ইনফ্রাস্ট্রাকচারেও চলে। গবেষকরা বললো ক্লাউড ইনফ্রাস্ট্রাকচার ব্যবহার করা ভাইরাস ব্লক করা কঠিন করে।

আশ্চর্য, গবেষকরা ফাইনাল পেলোড ডিপ্লয়মেন্ট ডিটেক্ট করেনি, ফলে ম্যালওয়্যারের চূড়ান্ত লক্ষ্য একটি রহস্য।

তারা লক্ষ্য کردند যে হয়তো ম্যালওয়্যার নির্দিষ্ট শর্তগুলো মেট হওয়ার জন্য অপেক্ষা করছিল। অনুরূপ, এটি সম্ভবত সিকিউরিটি গবেষকদের দ্বারা মনিটর করা হচ্ছে সেটি ডিটেক্ট করে, তাই ম্যালিশিয়াল পেলোড ডিপ্লয় এড়াচ্ছে।

এক্সিকিউট হওয়ার পর, Intel x86_64 বাইনারি "Hello World" প্রিন্ট করে যখন Mach-O বাইনারিগুলো "You did it!" প্রদর্শন করে।

গবেষকরা সেগুলোকে "বিস্ট্যান্ডার বাইনারি" নামে নামकरण করলো কারণ সেগুলো কোনো ম্যালিশিয়াল আচরণ প্রদর্শন করলো না। adicionalmente, macOS ম্যালওয়্যারটির একটি মেকানিজম আছে নিজে রিমুভ করার, এর স্টেলথ ক্যাপাবিলিটিতে যোগ করে।

যাইহোক, তারা লক্ষ্য করল যে সেলফ-রিমুভ ফিচারটি সংক্রমিত ডিভাইসগুলোর যেকোনোতে ব্যবহার হয়নি। ম্যালওয়্যারটি ইনস্টলেশনের পর সোর্স URL সার্চ করে যেখান থেকে ডাউনলোড हुआ ছিল। তারা আর্গুমেন্ট করল যে ম্যালওয়্যার ডেভেলপাররা চাইতেন কোন ডিস্ট্রিবিউশন চ্যানেল সবচেয়ে কার্যকর সেটি ট্র্যাক করতে।

গবেষকরা বুঝতে পারলেন না ম্যালওয়্যারটি কীভাবে ডেলিভার हुआ었지만 সম্ভাব্য ডিস্ট্রিবিউশন চ্যানেলগুলো شامل করে নকল ফ্ল্যাশ আপডেট, পাইরেটেড সফটওয়্যার, ম্যালিশিয়াল অ্যাড, বা লেজিটিমেট অ্যাপস।

সাইবার অপরাধীরা তাদের আক্রমণের রুল ডিফাইন করে, এবং সেগুলোর বিরুদ্ধে প্রতিরক্ষা করা আমাদের দায়িত্ব, এমনকি যখন সেগুলো পুরোপুরি স্পষ্ট নাও হয়। Silver Sparrow-এর সাথে সেটি হলো পরিস্থিতি, নতুন আইডেন্টিফাইড ম্যালওয়্যার যা macOS টার্গেট করে। বর্তমানে, এটা খুব বেশি কিছু করছে না মনে হচ্ছে, কিন্তু এটি আমাদের যে ট্যাটিক্সের বিরুদ্ধে প্রতিরক্ষা করা উচিত সেগুলোর ইনসাইট দিতে পারে।

Silver Sparrow ম্যালওয়্যারের টেকনিক্যাল স্পেক্স

গবেষকদের তদন্ত অনুযায়ী, Silver Sparrow ম্যালওয়্যারের দুটি ভার্সন রয়েছে, যাকে রেফার করা হয় "ভার্সন ১" এবং "ভার্সন ২"।

ম্যালওয়্যার ভার্সন ১

• ফাইল নাম: updater.pkg (v1-এর জন্য ইনস্টলার প্যাকেজ)
• MD5: 30c9bc7d40454e501c358f77449071aa

ম্যালওয়্যার ভার্সন ২

• ফাইল নাম: update.pkg (v2-এর জন্য ইনস্টলার প্যাকেজ)
• MD5: fdd6fb2b1dfe07b0e57d4cbfef9c8149

ডাউনলোড URL এবং স্ক্রিপ্ট কমেন্টের পরিবর্তন ছাড়া, দুটি ম্যালওয়্যার ভার্সনের শুধু একটি বড় পার্থক্য ছিল। প্রথম ভার্সনটি শুধু Intel x86_64 আর্কিটেকচারের জন্য কম্পাইল করা একটি Mach-O বাইনারি вовলভ করে যখন দ্বিতীয় ভার্সনটি Intel x86_64 এবং M1 ARM64 আর্কিটেকচার উভয়ের জন্য কম্পাইল করা Mach-O বাইনারি অন্তর্ভুক্ত করে। এটা গুরুত্বপূর্ণ কারণ M1 ARM64 আর্কিটেকচার নতুন এবং নতুন প্ল্যাটফর্মের জন্য খুব কম হুমকি আবিষ্কার হয়েছে।

Mach-O কম্পাইলড বাইনারিগুলো কিছুই করছে না মনে হচ্ছে তাই সেগুলোকে "বিস্ট্যান্ডার বাইনারি" বলা হয়।

Silver Sparrow কীভাবে বিতরণ হয়েছে?

রিপোর্ট অনুযায়ী, বহু macOS হুমকি ম্যালিশিয়াল অ্যাডভার্টাইজমেন্টের মাধ্যমে বিতরণ হয় একক, সেলফ-কন্টেইনড ইনস্টলার PKG বা DMG ফর্মে, একটি লেজিটিমেট অ্যাপ্লিকেশন—যেমন Adobe Flash Player—বা আপডেট হিসেবে মাস্কেড। এই কেসে, যাইহোক, আক্রমণকারীরা ম্যালওয়্যার দুটি ভিন্ন প্যাকেজে বিতরণ করল: updater.pkg এবং update.pkg। উভয় ভার্সন একই টেকনিক ব্যবহার করে এক্সিকিউট করতে, শুধু বিস্ট্যান্ডার বাইনারি কম্পাইলেশনে পার্থক্য।

Silver Sparrow-এর একটি уникаল বৈশিষ্ট্য হলো এর ইনস্টলার প্যাকেজ macOS Installer JavaScript API লিভারেজ করে সন্দেহজনক কমান্ড এক্সিকিউট করতে। যেহেতু কিছু লেজিটিমেট সফটওয়্যারও এটি করছে, এটি প্রথমবার ম্যালওয়্যার দ্বারা করা হয়েছে। এটি আচরণ থেকে একটি ডেভিয়েশন যা আমরা সাধারণত ম্যালিশিয়াল macOS ইনস্টলারগুলোতে наблюдаয় করি, যেগুলো সাধারণত প্রি-ইনস্টল বা পোস্ট-ইনস্টল স্ক্রিপ্ট ব্যবহার করে কমান্ড এক্সিকিউট করে। প্রি-ইনস্টল এবং পোস্ট-ইনস্টল কেসে, ইনস্টলেশন একটি নির্দিষ্ট টেলিমেট্রি প্যাটার্ন জেনারেট করে যা নিচের মত দেখায়:

• প্যারেন্ট প্রসেস: package_script_service
• প্রসেস: bash, zsh, sh, Python, বা অন্য ইন্টারপ্রিটার
• কমান্ড লাইন: প্রি-ইনস্টল বা পোস্ট-ইনস্টল ধারণ করে

এই টেলিমেট্রি প্যাটার্ন তার নিজে থেকে ম্যালিশিয়াসনেসের একটি পার্টিকুলারলি হাই-ফিডেলিটি ইন্ডিকেটর নয় কারণ এমনকি লেজিটিমেট সফটওয়্যারও স্ক্রিপ্টগুলো ব্যবহার করে, কিন্তু এটি সাধারণত ইনস্টলারগুলো আइডেন্টিফাই করে যেগুলো প্রি-ইনস্টল এবং পোস্ট-ইনস্টল স্ক্রিপ্ট ব্যবহার করে। Silver Sparrow আমরা যা ম্যালিশিয়াল macOS ইনস্টলার থেকে আশা করি সেটি থেকে ديفिएট করে প্যাকেজ ফাইলের Distribution ডেফিনিশন XML ফাইলের ভিতরে জাভাস্ক্রিপ্ট কমান্ড ইনক্লুড করে। এটি একটি ভিন্ন টেলিমেট্রি প্যাটার্ন উৎপন্ন করে:

• প্যারেন্ট প্রসেস: Installer
• প্রসেস: bash

প্রি-ইনস্টল এবং পোস্ট-ইনস্টল স্ক্রিপ্টের মত, এই টেলিমেট্রি প্যাটার্ন তার নিজে থেকে ম্যালিশিয়াল আচরণ আইডেন্টিফাই করার জন্য পর্যাপ্ত নয়। প্রি-ইনস্টল এবং পোস্ট-ইনস্টল স্ক্রিপ্ট কমান্ড-লাইন আর্গুমেন্টস অন্তর্ভুক্ত করে যা আসলে কী এক্সিকিউট হচ্ছে সেটির সংকেত দেয়। ম্যালিশিয়াল জাভাস্ক্রিপ্ট কমান্ডগুলো, অন্যদিকে, লেজিটিমেট macOS Installer প্রসেস ব্যবহার করে চলে এবং ইনস্টলেশন প্যাকেজের কন্টেন্ট বা কীভাবে সেটি জাভাস্ক্রিপ্ট কমান্ড ব্যবহার করে সেটির খুব কম ভিজিবিলিটি অফার করে।

আমরা জানি যে ম্যালওয়্যারটি Apple ইনস্টলার প্যাকেজ (.pkg ফাইল) এর মাধ্যমে ইনস্টল হয়েছিল যাদের নাম update.pkg বা updater.pkg। যাইহোক, আমরা জানি না এই ফাইলগুলো ব্যবহারকারীর কাছে কীভাবে ডেলিভার করা হয়েছিল।

এই .pkg ফাইলগুলো জাভাস্ক্রিপ্ট কোড অন্তর্ভুক্ত করে, এমনভাবে যে কোডটি একদম শুরুতেই চলে, ইনস্টলেশন আসলে শুরু হওয়ার আগে। ব্যবহারকারীকে তখন জিজ্ঞেস করা হতো তারা চান কিনা একটি প্রোগ্রাম চালানোর অনুমতি দিতে "নির্ধারণ করতে সফটওয়্যারটি ইনস্টল করা যেতে পারে কিনা।"

Silver Sparrow-এর ইনস্টলার ব্যবহারকারীকে বলে:

"এই প্যাকেজ একটি প্রোগ্রাম চালাবে যাতে সফটওয়্যারটি ইনস্টল করা যেতে পারে কিনা সেটি নির্ধারণ করা যায়।"

এটা মানে, আপনি যদি Continue-এ ক্লিক করেন, কিন্তু তারপর ভাবেন ভালো করলেও এবং ইনস্টলার কুইট করেন, তবুও খুব দেরি হয়ে গেছে। আপনি ইতিমধ্যে সংক্রমিত।

ম্যালিশিয়াল এক্টিভিটির আরেকটি ইন্ডিকেটর ছিল PlistBuddy প্রসেস আপনার Mac-এ একটি LaunchAgent তৈরি করছে।

LaunchAgent-এ launchd-কে ইনস্ট্রাক্ট করার একটি উপায় প্রদান করে, macOS ইনিশিয়ালাইজেশন সিস্টেম, পিরিয়ডিক্যালি বা অটোমেটিক্যালি টাস্ক এক্সিকিউট করতে। সেগুলো যেকোনো ব্যবহারকারী দ্বারা লিখা যেতে পারে এন্ডপয়েন্টে, কিন্তু সেগুলো সাধারণত সেটি লেখা ব্যবহারকারী হিসেবে এক্সিকিউট হবে।

ম্যাকওএসে প্রপার্টি লিস্ট (plists) তৈরি করার একাধিক উপায় আছে, এবং কখনো কখনো হ্যাকাররা তাদের প্রয়োজন পূরণ করতে ভিন্ন মেথড ব্যবহার করে। একটা এমন উপায় হলো PlistBuddy-এর মাধ্যমে, একটি বিল্ট-ইন টুল যা আপনাকে এন্ডপয়েন্টে বিভিন্ন প্রপার্টি লিস্ট তৈরি করতে দেয়, LaunchAgents সহ। কখনো কখনো হ্যাকাররা PlistBuddy-এ আশ্রয় নেন পেরসিস্টেন্স സ്ഥাপন করতে, এবং এটি করতে ডিফেন্ডারদের সহজে LaunchAgent-এর কন্টেন্ট ইন্সপেক্ট করতে পারেন EDR দিয়ে কারণ ফাইলের সকল প্রোপার্টি কমান্ড লাইনে লেখা থাকার আগে দেখায়।

Silver Sparrow-এর কেসে, এগুলো হলো plist-এর কন্টেন্ট লেখা কমান্ডগুলো:

• PlistBuddy -c "Add :Label string init_verx" ~/Library/Launchagents/init_verx.plist
• PlistBuddy -c "Add :RunAtLoad bool true" ~/Library/Launchagents/init_verx.plist
• PlistBuddy -c "Add :StartInterval integer 3600" ~/Library/Launchagents/init_verx.plist
• PlistBuddy -c "Add :ProgramArguments array" ~/Library/Launchagents/init_verx.plist
• PlistBuddy -c "Add :ProgramArguments:0 string '/bin/sh'" ~/Library/Launchagents/init_verx.plist
• PlistBuddy -c "Add :ProgramArguments:1 string -c" ~/Library/Launchagents/init_verx.plist

LaunchAgent Plist XML নিচের মত হবে:

Label
init_verx
RunAtLoad
true
StartInterval
3600
ProgramArguments
'/bin/sh'
-c
"~/Library/Application\\ Support/verx_updater/verx.sh" [timestamp] [data from plist downloaded]

Silver Sparrow এছাড়া একটি ফাইল চেক অন্তর্ভুক্ত করে যা সকল পেরসিস্টেন্স মেকানিজম এবং স্ক্রিপ্ট রিমুভ করে ~/Library/._insu ডিস্কে উপস্থিতি চেক করে। ফাইলটি উপস্থিত থাকলে, Silver Sparrow তার সকল কম্পোনেন্ট এন্ডপয়েন্ট থেকে রিমুভ করে। Malwarebytes-এ রিপোর্ট করা হ্যাশ (d41d8cd98f00b204e9800998ecf8427e) ইঙ্গিত করে ._insu ফাইলটি খালি ছিল।

if [ -f ~/Library/._insu ]
then
rm ~/Library/Launchagents/verx.plist
rm ~/Library/Launchagents/init_verx.plist
rm /tmp/version.json
rm /tmp/version.plist
rm /tmp/verx
rm -r ~/Library/Application\\ Support/verx_updater
rm /tmp/agent.sh
launchctl remove init_verx

ইনস্টলেশনের শেষে, Silver Sparrow দুটি ডিসকভারি কমান্ড এক্সিকিউট করে ডেটা কনস্ট্রাক্ট করতে একটি curl HTTP POST রিকোয়েস্টের জন্য যা ইঙ্গিত করে ইনস্টলেশন ঘটেছে। একটি সিস্টেম UUID রিট্রিভ করে রিপোর্টিং-এর জন্য, এবং দ্বিতীয়টি আসল প্যাকেজ ফাইল ডাউনলোড করা URL খুঁজে বের করে।

একটি sqlite3 কোয়েরি এক্সিকিউট করে, ম্যালওয়্যার আসল URL খুঁজে বের করে PKG ডাউনলোড हुआ ছিল, সাইবার অপরাধীদের সফল ডিস্ট্রিবিউশন চ্যানেল সম্পর্কে একটি ধারণা দিয়ে। আমরা সাধারণত এই ধরনের এক্টিভিটি ম্যালিশিয়াল অ্যাডওয়্যারের সাথে macOS-এ দেখি: sqlite3 sqlite3 ~/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV* 'select LSQuarantineDataURLString from LSQuarantineEvent where LSQuarantineDataURLString like "[redacted]" order by LSQuarantineTimeStamp desc'

Mac থেকে Silver Sparrow ম্যালওয়্যার কীভাবে সরাবেন

Apple দ্রুত ডেভেলপার সার্টিফিকেট ওভাররাইড করার ধাপ নিল যেগুলো Silver Sparrow ম্যালওয়্যার ইনস্টল হওয়ার জন্য সক্ষম করেছিল। dalsে ইনস্টলেশন আর সম্ভব নয়।

Apple-এর কাস্টোমাররা সাধারণত ম্যালওয়্যার থেকে রক্ষিত থাকে কারণ Mac App Store-এর বাইরে থেকে ডাউনলোড করা সকল সফটওয়্যার নোটারাইজড হতে হয়। এই কেসে মনে হয় ম্যালওয়্যার লেখকরা একটি সার্টিফিকেট পাওয়ার সক্ষম हुए যা প্যাকেজ সাইন করতে ব্যবহৃত হয়েছিল।

এই সার্টিফিকেট ছাড়া ম্যালওয়্যার আর কম্পিউটার সংক্রমিত করতে পারবে না।

Silver Sparrow ডিটেক্ট করার আরেকটি উপায় হলো ইন্ডিকেটরগুলোর প্রেজেন্স সার্চ করে কনফার্ম করা আপনি Silver Sparrow ইনফেকশন বা অন্য কিছু সাথে ডালিং করছেন:

• একটি প্রসেস খুঁজুন যা PlistBuddy এক্সিকিউট হচ্ছে মনে হচ্ছে একটি কমান্ড লাইনের সাথে যেটিতে নিচেরগুলো আছে: LaunchAgents এবং RunAtLoad এবং true। এই এনালিটিক একাধিক macOS ম্যালওয়্যার ফ্যামিলি LaunchAgent পেরসিস্টেন্স'Establish করার খুঁজে বের করতে সাহায্য করে।
• একটি প্রসেস খুঁজুন যা sqlite3 এক্সিকিউট হচ্ছে মনে হচ্ছে একটি কমান্ড লাইনের সাথে যেটিতে আছে: LSQuarantine। এই এনালিটিক একাধিক macOS ম্যালওয়্যার ফ্যামিলি ডাউনলোড করা ফাইলগুলির মেটাডেটা ম্যানিপুলেট বা সার্চ করার খুঁজে বের করতে সাহায্য করে।
• একটি প্রসেস খুঁজুন যা curl এক্সিকিউট হচ্ছে মনে হচ্ছে একটি কমান্ড লাইনের সাথে যেটিতে আছে: s3.amazonaws.com। এই এনালিটিক একাধিক macOS ম্যালওয়্যার ফ্যামিলি ডিস্ট্রিবিউশনের জন্য S3 বাকেট ব্যবহার করার খুঁজে বের করতে সাহায্য করে।

এই ফাইলগুলোর প্রেজেন্সও ইঙ্গিত করে যে আপনার ডিভাইস বা ভার্সন ১ বা ভার্সন ২ Silver Sparrow ম্যালওয়্যার দ্বারা কমপ্রোমাইজড:

• ~/Library/._insu (খালি ফাইল যা ম্যালওয়্যারকে নিজে ডিলিট করার সিগন্যাল দেয়)
• /tmp/agent.sh (শেল স্ক্রিপ্ট যা ইনস্টলেশন কলব্যাকের জন্য এক্সিকিউট होता)
• /tmp/version.json (S3 থেকে ডাউনলোড করা ফাইল এক্সিকিউশন ফ্লো নির্ধারণ করতে)
• /tmp/version.plist (version.json কনভার্টেড প্রপার্টি লিস্টে)

ম্যালওয়্যার ভার্সন ১ জন্য:

• ফাইল নাম: updater.pkg (v1-এর ইনস্টলার প্যাকেজ) বা updater (v1 প্যাকেজে বিস্ট্যান্ডার Mach-O Intel বাইনারি)
• MD5: 30c9bc7d40454e501c358f77449071aa বা c668003c9c5b1689ba47a431512b03cc
• s3.amazonaws[.]com (v1-এর জন্য version.json ধারণকারী S3 বাকেট)
• ~/Library/Application Support/agent_updater/agent.sh (v1 স্ক্রিপ্ট যা প্রতি ঘন্টা এক্সিকিউট হয়)
• /tmp/agent (ফাইল যেটিতে ফাইনাল v1 পেলোড থাকবে যদি ডিস্ট্রিবিউট হয়)
• ~/Library/Launchagents/agent.plist (v1 পেরসিস্টেন্স মেকানিজম)
• ~/Library/Launchagents/init_agent.plist (v1 পেরসিস্টেন্স মেকানিজম)
• Developer ID Saotia Seay (5834W6MYX3) – v1 বিস্ট্যান্ডার বাইনারি সিগনেচার Apple দ্বারা রিভোক করা

ম্যালওয়্যার ভার্সন ২ জন্য:

• ফাইল নাম: update.pkg (v2-এর ইনস্টলার প্যাকেজ) বা tasker.app/Contents/MacOS/tasker (v2-এ বিস্ট্যান্ডার Mach-O Intel & M1 বাইনারি)
• MD5: fdd6fb2b1dfe07b0e57d4cbfef9c8149 বা b370191228fef82635e39a137be470af
• s3.amazonaws[.]com (v2-এর জন্য version.json ধারণকারী S3 বাকেট)
• ~/Library/Application Support/verx_updater/verx.sh (v2 স্ক্রিপ্ট যা প্রতি ঘন্টা এক্সিকিউট হয়)
• /tmp/verx (ফাইল যেটিতে ফাইনাল v2 পেলোড থাকবে যদি ডিস্ট্রিবিউট হয়)
• ~/Library/Launchagents/verx.plist (v2 পেরসিস্টেন্স মেকানিজম)
• ~/Library/Launchagents/init_verx.plist (v2 পেরসিস্টেন্স মেকানিজম)
• Developer ID Julie Willey (MSZ3ZH74RK) – v2 বিস্ট্যান্ডার বাইনারি সিগনেচার Apple দ্বারা রিভোক করা

Silver Sparrow ম্যালওয়্যার ডিলিট করতে, আপনি এই ধাপগুলো নিতে পারেন:

১. অ্যান্টি-ম্যালওয়্যার সফটওয়্যার দিয়ে স্ক্যান করুন।

আপনার কম্পিউটারে ম্যালওয়্যার বিরুদ্ধে সেরা প্রতিরক্ষা সবসময় একটি বিশ্বস্ত অ্যান্টি-ম্যালওয়্যার সফটওয়্যার যেমন Outbyte AVarmor। কারণটা সিম্পল, একটি অ্যান্টি-ম্যালওয়্যার সফটওয়্যার আপনার পুরো কম্পিউটার স্ক্যান করে, যেকোনো সন্দেহজনক প্রোগ্রাম লোকেট ও রিমুভ করে সেগুলো কতটুকু ভালো হাইড করা থাকুক না কেন। ম্যানুয়ালি ম্যালওয়্যার রিমুভ করতে পারে, কিন্তু সবসময় সুযোগ থাকে আপনি কিছু মিস করবেন। একটি ভালো অ্যান্টি-ম্যালওয়্যার প্রোগ্রাম কখনো মিস করে না।

২. Silver Sparrow প্রোগ্রাম, ফাইল এবং ফোল্ডার ডিলিট করুন।

আপনার Mac-এ Silver Sparrow ম্যালওয়্যার ডিলিট করতে, প্রথম Activity Monitor-এ নেভিগেট করুন এবং যেকোনো সন্দেহজনক প্রসেস কিল অফ করুন। অন্যথায়, আপনি ডিলিট করার চেষ্টা করলে এরর মেসেজ পাবেন। Activity Monitor-এ যেতে, নিচের ধাপগুলো নিন:

1. Finder খুলুন।
2. Applications > Utilities > Activity Monitor-এ যান।
3. Activity Monitor-এ, চলমান প্রসেসগুলো দেখুন। যেকোনো সন্দেহজনক বা অপরিচিত মনে হলে, সেটি কুইট করুন। প্রসেসের আরও গভীর তদন্তের জন্য, আপনি মাউস দিয়ে হাইলাইট করতে পারেন এবং রাইট-ক্লিক করে ফাইল লোকেশন দেখতে পারেন।

আপনি যেকোনো সন্দেহজনক প্রোগ্রাম ডিলিট করার পর, আপনাকে ম্যালওয়্যার-রিলেটেড ফাইল এবং ফোল্ডারও ডিলিট করতে হবে। নিচের ধাপগুলো নিন:

1. Finder-এর Go to Folder অপশন ব্যবহার করে, /Library/LaunchAgents ফোল্ডারে নেভিগেট করুন। এই ফোল্ডারের ভিতরে, Silver Sparrow-এর সাথে asoshiated যেকোনো সন্দেহজনক ফাইল খুঁজুন। এই প্রকৃতির ফাইলগুলোর উদাহরণ شامل "myppes.download.plist", "mykotlerino.ltvbit.plist" এবং "installmac.AppRemoval.plist"। আইডেন্টিফিকেশনে সাহায্য করার জন্য, সাধারণ স্ট্রিংস 가진 ফাইলগুলো খুঁজুন।
2. Finder ব্যবহার করে /Library/Application Support ফোল্ডারে নেভিগেট করুন। এখানে, সন্দেহজনক ফাইলগুলো খুঁজুন, বিশেষ করে যেগুলো অ্যাপ্লিকেশন সাথে সম্পর্কিত যেগুলো আপনি Applications অ্যাপ ব্যবহার করে ডিলিট করেছেন। এগুলো রিমুভ করলে Silver Sparrow ভবিষ্যতে রিসার্ফেস করতে পারবে না।
3. /Library/LaunchDaemons ফোল্ডারে নেভিগেট করুন এবং যেকোনো সন্দেহজনক ফাইল খুঁজুন। Silver Sparrow ম্যালওয়্যারের সাথে asoshiated সন্দেহজনক ফাইলগুলোর উদাহরণ شامل "com.myppes.net-preferences.plist", "com.kuklorest.net-preferences.plist", "com.aoudad.net-preferences.plist" এবং "com.avickUpd.plist"। এই ফাইলগুলো Trash-এ মুভ করুন।

৩. যেকোনো Silver Sparrow ব্রাউজার এক্সটেনশন আনইনস্টল করুন, যদি প্রযোজ্য হয়।

আপনার কম্পিউটারের হার্ড ড্রাইভ থেকে ম্যানুয়ালি ম্যালওয়্যার ডিলিট করার পর, আপনাকে Top Results ব্রাউজার এক্সটেনশনও আনইনস্টল করতে হবে। আপনি যে ব্রাউজার ব্যবহার করছেন তার Settings > Extensions-এ যান এবং যেকোনো এক্সটেনশন যা আপনি পরিচিত নন সেগুলো রিমুভ করুন। অথবা, আপনি আপনার ব্রাউজার ডিফল্টে রিসেট করতে পারেন কারণ এটাও যেকোনো এক্সটেনশন রিমুভ করবে।

সারসংক্ষেপ

Silver Sparrow ম্যালওয়্যার রহস্যময় থাকছে কারণ এটি দীর্ঘ সময় পরেও অতিরিক্ত পেলোড ডাউনলোড করে না। এর মানে আমাদের কোনো ধারণা নেই ম্যালওয়্যারটি কী করার জন্য ডিজাইন করা হয়েছিল, Mac ব্যবহারকারীদের এবং সিকিউরিটি এক্সপার্টদের চিন্তিত রেখে দিচ্ছে যে এটা আসলে কী করার জন্য বানানো হয়েছে। ম্যালিশিয়াল এক্টিভিটির অভাবের باয়जूद, ম্যালওয়্যারটির উপস্থিতি নিজে সংক্রমিত ডিভাইসের জন্য একটি হুমকি। তাই, এটি অবিলম্বে সরাতে হবে এবং এর সকল চিহ্ন ডিলিট করতে হবে।