หากคุณคิดว่า Mac ของคุณปลอดภัยจากมัลแวร์ ให้คิดใหม่ นักเขียนมัลแวร์กลายเป็นผู้เชี่ยวชาญในการ exploit ช่องโหว่ของแพลตฟอร์มต่างๆ รวมถึง macOS นี่ชัดเจนจากการติดเชื้อมัลแวร์ก่อนหน้าที่มุ่งเป้า Mac รวมถึง Shlayer Malware และ Top Results Malware
Silver Sparrow macOS Malware คืออะไร?
gầnนี้ Red Canary, Malwarebytes และ VMware Carbon Black Security Researchers ค้นพบมัลแวร์ macOS ใหม่ที่ติดเชื้อ Mac มากกว่า 40,000 เครื่องทั่วโลก อภัยคุกคามใหม่นี้ชื่อ Silver Sparrow ตาม Malwarebytes มัลแวร์แพร่กระจายไป 153 ประเทศ โดยสหรัฐอเมริกา สหราชอาณาจักร แคนาดา ฝรั่งเศส และเยอรมนี มีความหนาแน่นสูงสุด ยังไม่ชัดเจนว่ามี M1 Macs กี่เครื่องใน 40,000 เครื่องนี้ และเราไม่ทราบการกระจายตัวที่แน่นอน
นักวิจัยสังเกตว่า แม้ Silver Sparrow จะเป็นภัยคุกคามที่ค่อนข้างรุนแรงต่ออุปกรณ์ที่ติดเชื้อ แต่ไม่แสดงพฤติกรรมร้ายที่คาดหวังจาก macOS Adware ทั่วไป นี่ทำให้มัลแวร์น่าปวดหัว เพราะผู้เชี่ยวชาญด้านความปลอดภัยไม่มีไอเดียว่ามัลแวร์นี้ออกแบบมาเพื่อทำอะไร
อย่างไรก็ตาม นักวิจัยสังเกตว่า ซอฟต์แวร์ร้ายกาจนี้ยังคงพร้อมที่จะส่ง Malicious Payload ได้ทุกเมื่อ เมื่อสืบสวน พบว่า Silver Sparrow macOS Malware Strain ไม่เคยส่ง Malicious Payload บนอุปกรณ์ที่ติดเชื้อ แต่พวกเขาเตือนผู้ใช้ Mac ที่ได้รับผลกระทบ ว่ามันยังคงเป็นภัยคุกคามที่สำคัญแม้พฤติกรรม Dormant
แม้ผู้เชี่ยวชาญไม่ได้สังเกต Silver Sparrow ส่ง Payload ร้ายเพิ่มเติม แต่ความเข้ากันได้กับ M1 Chip, ความครอบคลุมทั่วโลก, อัตราการติดเชื้อสูง และความสุกของการดำเนินงาน ทำให้ Silver Sparrow เป็นภัยคุกคามที่ค่อนข้างรุนแรง ผู้เชี่ยวชาญด้านความปลอดภัยยังค้นพบว่า Mac Malware นี้เข้ากันได้กับทั้ง Intel และ Apple Silicon Processors
นี่คือ Timeline แบบประมาณของวิวัฒนาการ Silver Sparrow Malware:
- 18 สิงหาคม 2020: Malware Version 1 (Non-M1) Callback Domain api.mobiletraits[.]com สร้าง
- 31 สิงหาคม 2020: Malware Version 1 (Non-M1) ส่งไป VirusTotal
- 2 กันยายน 2020: ไฟล์ version.json ที่เห็นระหว่างการรัน Malware Version 2 ส่งไป VirusTotal
- 5 ธันวาคม 2020: Malware Version 2 (M1 Version) Callback Domain สร้าง api.specialattributes[.]com
- 22 มกราคม 2021: PKG File Version 2 (มี M1 Binary) ส่งไป VirusTotal
- 26 มกราคม 2021: Red Canary ตรวจพบ Silver Sparrow Malware Version 1
- 9 กุมภาพันธ์ 2021: Red Canary ตรวจพบ Silver Sparrow Malware Version 2 (M1 Version)
Silver Sparrow Malware ทำอะไร?
บริษัทความปลอดภัย Red Canary ค้นพบมัลแวร์ใหม่ มุ่งเป้า Mac ที่ใช้ M1 Processors ใหม่ มัลแวร์ชื่อ Silver Sparrow ใช้ macOS Installer Javascript API เพื่อ Execute Commands นี่คือสิ่งที่คุณต้องรู้
ไม่มีใครรู้แน่ชัด หนึ่งครั้งบน Mac Silver Sparrow ติดต่อ Server หนึ่งครั้งต่อชั่วโมง นักวิจัยด้านความปลอดภัยกังวลว่ามันอาจกำลังเตรียมตัวสำหรับการโจมตีครั้งใหญ่
บริษัทความปลอดภัย Red Canary เชื่อว่า แม้ Silver Sparrow ยังไม่ส่ง Malicious Payload แต่ก็อาจเป็นภัยคุกคามที่ค่อนข้างรุนแรง
มัลแวร์โดดเด่นเพราะรันบน Apple M1 Chip นั่นไม่ได้หมายความว่าคนร้ายมุ่งเป้า M1 Macs โดยเฉพาะ แต่บ่งชี้ว่า M1 Macs และ Intel Macs ติดเชื้อได้ทั้งคู่
สิ่งที่รู้คือ เครื่องที่ติดเชื้อติดต่อ Server ทุกชั่วโมง ดังนั้นอาจเป็นการเตรียมพร้อมสำหรับการโจมตีครั้งใหญ่
มัลแวร์ใช้ Mac OS Installer Javascript API Execute Commands
บริษัทความปลอดภัยไม่สามารถกำหนดได้ว่าคำสั่งนำไปสู่อะไรต่อไป และยังไม่ทราบขอบเขตภัยคุกคามของ Silver Sparrow บริษัทความปลอดภัยอย่างไรก็ตามเชื่อว่ามัลแวร์นี้รุนแรง
ฝั่ง Apple บริษัทเพิกถอน Certificate ที่ใช้ Sign Package ที่เกี่ยวข้องกับ Silver Sparrow Malware
แม้ Notary Service ของ Apple มัลแวร์นักพัฒนา macOS สามารถมุ่งเป้าผลิตภัณฑ์ Apple ได้สำเร็จ รวมถึงที่ใช้ ARM Chip ล่าสุด เช่น MacBook Pro, MacBook Air, และ Mac Mini
Apple อ้างว่ามี "Industry-leading" User Protection Mechanism แต่ภัยคุกคามมัลแวร์ยังคงกลับมา
แน่นอน ดูเหมือน Threat Actors อยู่หน้าก้าวไปข้างหน้า มุ่งเป้า M1 Chips ในวัยกำเนิด นี่แม้ Developer จริงหลายคนยังไม่ได้ Port แอปพลิเคชันไปแพลตฟอร์มใหม่
Silver Sparrow macOS Malware ส่ง Binary สำหรับ Intel และ ARM ใช้ AWS และ Akamai CDN
นักวิจัยอธิบายการดำเนินงานของ Silver Sparrow ในบล็อกโพสต์ "Clipping Silver Sparrow's wings: Outing macOS malware before it takes flight"
มัลแวร์ชิ้นใหม่นี้มี 2 Binaries รูปแบบ Mach-object สำหรับ Intel x86_64 Processors และ Mach-O Binary ออกแบบสำหรับ M1 Macs
macOS Malware ติดตั้งผ่าน Apple Installer Packages ชื่อ "update.pkg" หรือ "updater.pkg"
Archive รวม JavaScript Code ที่รันก่อน Install Script Execute แจ้งให้ผู้ใช้อนุญาตโปรแกรม "Determine if the software can be installed"
หากผู้ใช้ยอมรับ JavaScript Code จะติดตั้ง Script ชื่อ verx.sh การยกเลิกการติดตั้งที่จุดนี้เป็นโครงการที่ล้มเหลว เพราะระบบติดเชื้อแล้ว ตาม Malwarebytes
ติดตั้งแล้ว Script ติดต่อ Command and Control Server ทุกชั่วโมง ตรวจสอบ Commands หรือ Binaries ที่จะ Execute
Command and Control Center รันบน Amazon Web Services (AWS) และ Akamai Content Delivery Networks (CDN) Infrastructure นักวิจัยกล่าวว่า การใช้ Cloud Infrastructure ทำให้ยากกว่าที่จะบล็อกไวรัส
น่าประหลาดใจ นักวิจัยไม่ตรวจพบการ Deploy Final Payload ทำให้เป้าหมายสุดท้ายของมัลแวร์เป็นปริศนา
พวกเขาบันทึกว่า อาจมัลแวร์รอเงื่อนไขบางอย่างให้ตรงกัน หรืออาจตรวจพบว่าถูกติดตามโดยนักวิจัยด้านความปลอดภัย จึงหลีกเลี่ยงการ Deploy Malicious Payload
เมื่อ Execute Intel x86_64 Binaries พิมพ์ "Hello World" ในขณะที่ Mach-O Binaries แสดง "You did it!"
นักวิจัยตั้งชื่อว่า "Bystander Binaries" เพราะไม่แสดงพฤติกรรมร้าย นอกจากนี้ macOS Malware มี Mechanism ลบตัวเอง เพิ่มความสามารถ Stealth
อย่างไรก็ตาม พวกเขาบันทึกว่า Self-remove Feature ไม่เคยใช้บนอุปกรณ์ที่ติดเชื้อ มัลแวร์ยังค้นหา Source URL ที่ดาวน์โหลดมาหลังติดตั้ง พวกเขาโต้แย้งว่า นักพัฒนามัลแวร์ต้องการติดตามว่า Distribution Channel ไหนมีประสิทธิภาพมากที่สุด
Cybercriminals กำหนดกฎการโจมตีของพวกเขา และเราต้องป้องกันต้านทานกลยุทธ์ของพวกเขา แม้กลยุทธ์เหล่านั้นจะไม่ชัดเจนสมบูรณ์ นั่นคือสถานการณ์กับ Silver Sparrow มัลแวร์ที่ระบุตัวตนใหม่ มุ่งเป้า macOS ปัจจุบันมันไม่ได้ทำอะไรมากนัก แต่ให้ข้อมูลเชิงลึกถึงกลยุทธ์ที่เราควรป้องกัน
Technical Specs ของ Silver Sparrow Malware
ตามการสืบสวนของนักวิจัย มี 2 เวอร์ชันของ Silver Sparrow Malware เรียกว่า "Version 1" และ "Version 2"
Malware Version 1
- File Name: updater.pkg (Installer Package สำหรับ v1)
- MD5: 30c9bc7d40454e501c358f77449071aa
Malware Version 2
- File Name: update.pkg (Installer Package สำหรับ v2)
- MD5: fdd6fb2b1dfe07b0e57d4cbfef9c8149
นอกจากการเปลี่ยน Download URLs และ Script Comments เวอร์ชันมัลแวร์ทั้งสองมีความแตกต่างหลักเพียงอย่างเดียว เวอร์ชันแรกเกี่ยวข้องกับ Mach-O Binary คอมไพล์สำหรับ Intel x86_64 Architecture เท่านั้น ในขณะที่เวอร์ชันที่สองรวม Mach-O Binary คอมไพล์สำหรับ Intel x86_64 และ M1 ARM64 Architectures ทั้งคู่ นี่สำคัญเพราะ M1 ARM64 Architecture ใหม่ และมีภัยคุกคามน้อยมากที่ค้นพบสำหรับแพลตฟอร์มใหม่
Mach-O Compiled Binaries ไม่ดูเหมือนทำอะไร จึงเรียกว่า "Bystander Binaries"
Silver Sparrow เผยแพร่อย่างไร?
จากรายงาน มัลแวร์ macOS หลายตัวเผยแพร่ผ่านโฆษณาร้าย เป็น Single Self-contained Installers ในรูป PKG หรือ DMG ปลอมเป็นแอปพลิเคชันที่ถูกต้อง—เช่น Adobe Flash Player—หรือ Updates ในกรณีนี้ อย่างไรก็ตาม โจมตีกระจายมัลแวร์ใน 2 Package แยกต่างหาก: updater.pkg และ update.pkg ทั้ง 2 เวอร์ชันใช้เทคนิคเดียวกัน Execute แตกต่างกันเพียงการ Compile ของ Bystander Binary
สิ่งที่เฉพาะตัวของ Silver Sparrow คือ Installer Packages ใช้ macOS Installer JavaScript API Execute คำสั่งที่น่าสงสัย แม้ซอฟต์แวร์จริงบางตัวก็ทำเช่นนี้ แต่เป็นครั้งแรกที่มัลแวร์ทำอย่างนี้ นี่คือการเบี่ยงเบนจากพฤติกรรมที่เราสังเกตปกติใน Malicious macOS Installers ซึ่งโดยทั่วไปใช้ Preinstall หรือ Postinstall Scripts Execute Commands ในกรณี Preinstall และ Postinstall การติดตั้งสร้าง Telemetry Pattern เฉพาะที่ดูเหมือนนี้:
- Parent Process: package_script_service
- Process: bash, zsh, sh, Python, หรือ Interpreter อื่น
- Command Line: มี preinstall หรือ postinstall
Telemetry Pattern นี้ไม่ใช่ Indicator ความร้าย High-fidelity โดยเฉพาะตัว เพราะซอฟต์แวร์จริงก็ใช้ Scripts แต่ Identify ได้อย่างน่าเชื่อถือ Installers ที่ใช้ Preinstall และ Postinstall Scripts โดยรวม Silver Sparrow แตกต่างจากที่เราคาดหวังจาก Malicious macOS Installers โดยรวม JavaScript Commands ภายใน Package File's Distribution Definition XML File นี่สร้าง Telemetry Pattern ที่ต่างออกไป:
- Parent Process: Installer
- Process: bash
เหมือนกับ Preinstall และ Postinstall Scripts Telemetry Pattern นี้ไม่พอที่จะระบุพฤติกรรมร้ายด้วยตัวมันเอง Preinstall และ Postinstall Scripts รวม Command-line Arguments ที่ให้ Clues เกี่ยวกับสิ่งที่ Execute จริง คำสั่ง JavaScript ร้ายกว่า รันด้วย Installer Process ที่ถูกต้องของ macOS และเสนอ Visibility น้อยมากเกี่ยวกับเนื้อหาใน Installation Package หรือว่า Package ใช้ JavaScript Commands อย่างไร
เรารู้ว่ามัลแวร์ติดตั้งผ่าน Apple Installer Packages (.pkg files) ชื่อ update.pkg หรือ updater.pkg อย่างไรก็ตาม เราไม่รู้ว่าไฟล์เหล่านี้ถูกส่งมอบให้ผู้ใช้อย่างไร
ไฟล์ .pkg เหล่านี้รวม JavaScript Code อย่างที่ Code จะรันตั้งแต่ต้น ก่อน Installation เริ่มจริงๆ ผู้ใช้จะถูกถามว่าต้องการอนุญาตโปรแกรมรัน "To determine if the software can be installed"
Silver Sparrow Installer บอกผู้ใช้:
"This package will run a program to determine if the software can be installed."
นี่หมายความว่า หากคุณคลิก Continue แต่คิดดีกว่านั้นและออกจาก Installer จะสายเกินไป คุณติดเชื้อแล้ว
Indication อื่นของกิจกรรมร้ายคือ PlistBuddy Process สร้าง LaunchAgent บน Mac ของคุณ
LaunchAgents ให้วิธีสั่ง launchd ระบบ Initialization ของ macOS ให้ Execute Tasks เป็นระยะหรืออัตโนมัติ พวกเขาสามารถเขียนโดย User ใดๆ บน Endpoint แต่จะ Execute เป็น User ที่เขียนมักจะเป็น
มีหลายวิธีสร้าง Property Lists (plists) บน macOS และบางครั้งแฮกเกอร์ใช้วิธีต่างๆ เพื่อบรรลุความต้องการ วิธีหนึ่งคือผ่าน PlistBuddy Built-in Tool ที่อนุญาตให้สร้าง Property Lists ต่างๆ บน Endpoint รวมถึง LaunchAgents บางครั้งแฮกเกอร์ใช้ PlistBuddy สร้าง Persistence และการทำเช่นนั้นทำให้ Defenders สามารถตรวจสอบเนื้อหา LaunchAgent ได้อย่างง่ายดายผ่าน EDR เพราะ Properties ทั้งหมดของไฟล์แสดงบน Command Line ก่อนเขียน
ในกรณี Silver Sparrow นี่คือคำสั่งที่เขียนเนื้อหา Plist:
- PlistBuddy -c "Add :Label string init_verx" ~/Library/Launchagents/init_verx.plist
- PlistBuddy -c "Add :RunAtLoad bool true" ~/Library/Launchagents/init_verx.plist
- PlistBuddy -c "Add :StartInterval integer 3600" ~/Library/Launchagents/init_verx.plist
- PlistBuddy -c "Add :ProgramArguments array" ~/Library/Launchagents/init_verx.plist
- PlistBuddy -c "Add :ProgramArguments:0 string '/bin/sh'" ~/Library/Launchagents/init_verx.plist
- PlistBuddy -c "Add :ProgramArguments:1 string -c" ~/Library/Launchagents/init_verx.plist
LaunchAgent Plist XML จะคล้ายกับนี้:
Label
init_verx
RunAtLoad
true
StartInterval
3600
ProgramArguments
'/bin/sh'
-c
"~/Library/Application\\ Support/verx_updater/verx.sh" [timestamp] [data from plist downloaded]
Silver Sparrow ยังมี File Check ที่ทำให้ลบ Persistence Mechanisms และ Scripts ทั้งหมด โดยตรวจสอบ Presence ของ ~/Library/._insu บนดิสก์ หากไฟล์มีอยู่ Silver Sparrow จะลบ Components ทั้งหมดจาก Endpoint Hashes ที่รายงานจาก Malwarebytes (d41d8cd98f00b204e9800998ecf8427e) บ่งชี้ว่าไฟล์ ._insu ว่างเปล่า
if [ -f ~/Library/._insu ]
then
rm ~/Library/Launchagents/verx.plist
rm ~/Library/Launchagents/init_verx.plist
rm /tmp/version.json
rm /tmp/version.plist
rm /tmp/verx
rm -r ~/Library/Application\\ Support/verx_updater
rm /tmp/agent.sh
launchctl remove init_verx
ท้ายการติดตั้ง Silver Sparrow Execute Discovery Commands 2 คำสั่ง เพื่อสร้าง Data สำหรับ Curl HTTP POST Request บ่งชี้ว่าการติดตั้งเกิดขึ้น หนึ่งดึง System UUID สำหรับรายงาน และอีกหนึ่งหา URL ที่ใช้ดาวน์โหลด Package File ต้นฉบับ
โดยการ Execute SQLite3 Query มัลแวร์หา Original URL ที่ PKG ดาวน์โหลดมา ให้ไซเบอร์อาชญากรความคิดว่าช่องทางการกระจายไหนประสบความสำเร็จ เรามักเห็นกิจกรรมแบบนี้กับ Malicious Adware บน macOS: sqlite3 sqlite3 ~/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV* 'select LSQuarantineDataURLString from LSQuarantineEvent where LSQuarantineDataURLString like "[redacted]" order by LSQuarantineTimeStamp desc'
วิธีกำจัด Silver Sparrow Malware จาก Mac
Apple ดำเนินการเร็วเพื่อ Override Developer Certificates ที่ทำให้ Silver Sparrow Malware ติดตั้งได้ การติดตั้งเพิ่มเติมจึงไม่ควรเป็นไปได้อีกต่อไป
ลูกค้า Apple ปกติได้รับการป้องกันจากมัลแวร์ เพราะซอฟต์แวร์ที่ดาวน์โหลดนอก Mac App Store ต้อง Notarized ในกรณีนี้ ดูเหมือนนักเขียนมัลแวร์ได้รับ Certificate ที่ใช้ Sign Package
โดยไม่มี Certificate นี้ มัลแวร์ไม่สามารถติดเชื้อคอมพิวเตอร์เพิ่มเติมได้
อีกวิธีตรวจจับ Silver Sparrow คือการค้นหา Indicators เพื่อยืนยันว่าคุณกำลังจัดการกับ Silver Sparrow Infection หรือสิ่งอื่น:
- หา Process ที่ดูเหมือน PlistBuddy Executing ร่วมกับ Command Line ที่มี: LaunchAgents และ RunAtLoad และ true Analytic นี้ช่วยหา MacOS Malware Families หลายตัวที่สร้าง LaunchAgent Persistence
- หา Process ที่ดูเหมือน sqlite3 Executing ร่วมกับ Command Line ที่มี: LSQuarantine Analytic นี้ช่วยหา MacOS Malware Families หลายตัวที่จัดการหรือค้นหา Metadata ของไฟล์ที่ดาวน์โหลด
- หา Process ที่ดูเหมือน curl Executing ร่วมกับ Command Line ที่มี: s3.amazonaws.com Analytic นี้ช่วยหา MacOS Malware Families หลายตัวที่ใช้ S3 Buckets สำหรับ Distribution
การมีอยู่ของไฟล์เหล่านี้บ่งชี้ว่าอุปกรณ์ของคุณถูกควบคุมด้วย Version 1 หรือ Version 2 ของ Silver Sparrow Malware:
- ~/Library/._insu (Empty File ใช้ส่งสัญญาณให้มัลแวร์ลบตัวเอง)
- /tmp/agent.sh (Shell Script Execute สำหรับ Installation Callback)
- /tmp/version.json (File ดาวน์โหลดจาก S3 เพื่อกำหนด Execution Flow)
- /tmp/version.plist (version.json แปลงเป็น Property List)
สำหรับ Malware Version 1:
- File Name: updater.pkg (Installer Package สำหรับ v1) หรือ updater (Bystander Mach-O Intel Binary ใน v1 Package)
- MD5: 30c9bc7d40454e501c358f77449071aa หรือ c668003c9c5b1689ba47a431512b03cc
- s3.amazonaws[.]com (S3 Bucket เก็บ version.json สำหรับ v1)
- ~/Library/Application Support/agent_updater/agent.sh (v1 Script Execute ทุกชั่วโมง)
- /tmp/agent (File บรรจุ Final v1 Payload หากกระจาย)
- ~/Library/Launchagents/agent.plist (v1 Persistence Mechanism)
- ~/Library/Launchagents/init_agent.plist (v1 Persistence Mechanism)
- Developer ID Saotia Seay (5834W6MYX3) – v1 Bystander Binary Signature ถูกเพิกถอนโดย Apple
สำหรับ Malware Version 2:
- File Name: update.pkg (Installer Package สำหรับ v2) หรือ tasker.app/Contents/MacOS/tasker (Bystander Mach-O Intel & M1 Binary ใน v2)
- MD5: fdd6fb2b1dfe07b0e57d4cbfef9c8149 หรือ b370191228fef82635e39a137be470af
- s3.amazonaws[.]com (S3 Bucket เก็บ version.json สำหรับ v2)
- ~/Library/Application Support/verx_updater/verx.sh (v2 Script Execute ทุกชั่วโมง)
- /tmp/verx (File บรรจุ Final v2 Payload หากกระจาย)
- ~/Library/Launchagents/verx.plist (v2 Persistence Mechanism)
- ~/Library/Launchagents/init_verx.plist (v2 Persistence Mechanism)
- Developer ID Julie Willey (MSZ3ZH74RK) – v2 Bystander Binary Signature ถูกเพิกถอนโดย Apple
เพื่อลบ Silver Sparrow Malware นี่คือขั้นตอนที่คุณสามารถทำ:
1. สแกนด้วยซอฟต์แวร์ Anti-malware
การป้องกันที่ดีที่สุดต่อมัลแวร์บนคอมพิวเตอร์จะเป็น Anti-malware Software ที่น่าเชื่อถืออย่าง Outbyte AVarmor เหตุผลง่าย คือ Anti-malware Software สแกนคอมพิวเตอร์ทั้งเครื่อง ระบุและลบโปรแกรมน่าสงสัยไม่ว่าจะซ่อนแย่แค่ไหน การลบมัลแวร์ด้วยตนเองอาจทำงานได้ แต่เสมอมีโอกาสคุณพลาดอะไรไป โปรแกรม Anti-malware ที่ดีไม่ทำแบบนั้น
2. ลบโปรแกรม ไฟล์ และโฟลเดอร์ Silver Sparrow
เพื่อลบ Silver Sparrow Malware บน Mac แรกให้ไปที่ Activity Monitor และ Kill กระบวนการน่าสงสัยใดๆ มิฉะนั้นคุณจะได้ Error Messages เมื่อพยายามลบ วิธีไป Activity Monitor:
- เปิด Finder
- ไปที่ Applications > Utilities > Activity Monitor
- บน Activity Monitor หากระบวนการที่รัน หากมีอะไรที่ดูน่าสงสัยหรือไม่คุ้นเคย ให้ Quit มัน เพื่อตรวจสอบเพิ่มเติม คุณสามารถไฮไลท์ด้วยเมาส์และคลิกขวาเพื่อดู File Location
หลังจากลบโปรแกรมน่าสงสัยแล้ว คุณยังต้องลบไฟล์และโฟลเดอร์ที่เกี่ยวกับมัลแวร์ ขั้นตอนต่อไปนี้:
- ใช้ตัวเลือก Go to Folder ของ Finder ไปที่ /Library/LaunchAgents Folder ภายในโฟลเดอร์นี้ หาไฟล์น่าสงสัยที่เกี่ยวกับ Silver Sparrow ตัวอย่างไฟล์ลักษณะนี้รวมถึง "myppes.download.plist", "mykotlerino.ltvbit.plist" และ "installmac.AppRemoval.plist" เพื่อช่วยระบุ ให้หาไฟล์ที่มี Strings ร่วมกัน
- ใช้ Finder ไปที่ /Library/Application Support Folder ที่นี่ หาไฟล์น่าสงสัย โดยเฉพาะที่เกี่ยวกับแอปพลิเคชันที่คุณลบด้วยแอป Applications การลบเหล่านี้จะหยุด Silver Sparrow ไม่ให้กลับมาอีกในอนาคต
- ไปที่ /Library/LaunchDaemons Folder และหาไฟล์น่าสงสัย ตัวอย่างไฟล์น่าสงสัยที่เกี่ยวกับ Silver Sparrow Malware รวมถึง "com.myppes.net-preferences.plist", "com.kuklorest.net-preferences.plist", "com.aoudad.net-preferences.plist" และ "com.avickUpd.plist" ย้ายไฟล์เหล่านี้ไป Trash
3. ถอนการติดตั้ง Silver Sparrow Browser Extensions หากเกี่ยวข้อง
หลังจากลบมัลแวร์จากฮาร์ดไดรฟ์คอมพิวเตอร์ด้วยตนเองแล้ว คุณยังต้องถอนการติดตั้ง Top Results Browser Extensions ไปที่ Settings > Extensions บนเบราวเซอร์ที่คุณใช้ และลบส่วนขยายที่คุณไม่คุ้นเคย หรือคุณสามารถ Reset Browser เป็นค่าเริ่มต้นได้ เพราะจะลบส่วนขยายเช่นกัน
สรุป
Silver Sparrow Malware ยังคงลึกลับ เพราะไม่ดาวน์โหลด Additional Payloads แม้หลังจากเวลานาน นี่หมายความว่าเราไม่มีไอเดียว่ามัลแวร์ออกแบบมาเพื่อทำอะไร ทำให้ผู้ใช้ Mac และผู้เชี่ยวชาญด้านความปลอดภัยปวดหัวเกี่ยวกับวัตถุประสงค์จริงของมัน แม้ขาดกิจกรรมร้าย การมีอยู่ของมัลแวร์ด้วยตัวมันเองก็เป็นภัยคุกคามต่ออุปกรณ์ที่ติดเชื้อ ดังนั้นควรกำจัดทันทีและลบร่องรอยทั้งหมดของมัน
