opener関係のメモ（っつーかURLだけ）
よゆー無いのでこーゆー書き方に（笑
http://www.macintouch.com/opener.html
...orz系
http://pc5.2ch.net/test/read.cgi/mac/1073151213/n458-
http://freaky.staticusers.net/ugboard/viewtopic.php?t=13891
http://freaky.staticusers.net/ugboard/viewtopic.php?t=10712
http://shiftzwei.blogg.de/eintrag.php?id=39
http://packetstormsecurity.org/UNIX/penetration/rootkits/index5.html
http://www.addingunderstanding.com/node/view/547
http://www.addingunderstanding.com/node/view/549
ベンダー系
http://www.sophos.com/virusinfo/analyses/shrenepoa.html
http://www.sophos.co.jp/pressoffice/pressrel/20041025renepo.html
http://www.symantec.co.jp/region/jp/avcenter/venc/data/jp-macos.renepo.b.html
たまちゃんさん
http://focus.sakura.ne.jp/italktothewind4/archives/2004/10/23/index.html#a000167
http://focus.sakura.ne.jp/italktothewind4/archives/2004/10/24/index.html#a000176
http://focus.sakura.ne.jp/italktothewind4/archives/2004/10/26/index.html#a000183
# 私も Osiris で良いと言うより、Osiris が良いと思います。＞たまちゃんさん
# こんな書き方で済みませんが...。
日本語記事系
http://www.st.ryukoku.ac.jp/%7Ekjm/security/memo/2004/10.html#20041026__Mac
http://isl.educ.fukushima-u.ac.jp/~shinoda/net-docs/enduser-security.shtml#200401024-4
日本語記事系（目を通した系）
http://internet.watch.impress.co.jp/cda/news/2004/10/25/5135.html
http://www.itmedia.co.jp/enterprise/articles/0410/25/news073.html
http://japan.cnet.com/news/sec/story/0,2000050480,20075364,00.htm
http://slashdot.jp/mac/04/10/26/080226.shtml?topic=92
英語記事系（読む気無し系）
http://macslash.org/article.pl?sid=04/10/22/1614240&mode=thread&threshold=-1
http://apple.slashdot.org/article.pl?sid=04/10/23/0229241
http://www.macnn.com/print/26718
http://itvibe.com/default.aspx?NewsID=2949
http://news.zdnet.co.uk/software/mac/0,39020393,39171265,00.htm
http://www.theregister.co.uk/2004/10/25/mac_rootkit_opener/
http://www.zdnet.com.au/news/security/0,2000061744,39164062,00.htm
http://www.macworld.co.uk/news/index.cfm?NewsID=9974
http://www.silicon.com/0,39024729,39125245,00.htm
メモ
KNOPPIXでnoswapでブートしたPCで、wgetだかcurlだかfetchだか知らんがpacketstormから落として調査＞オレ
# そういや最近買った雑誌に付いてたような＞KNOPPIX＞オレ
opener 雑感
opener を知らない方は＞"Opener" Malware
ってゆーか、Macintosh Underground :: View topic - Startup scripts の ９ページ目 辺りを見た方が早いような。
でまぁ、openerですけど。
mal"ware"っつーよりは、vandalなスクリプト詰め合わせって感じですよね。「思いつく限りやってみました!!」みたいな。
何だか、何時だったかのセキュスタで、たまたまアカウントとパスワードが解ったので某氏のMac OS XにSSHで入って /etc/hostconfigをアレしたり /System/Library/StartupItems/ 以下をコレしたり何をソレしたりした後に「エィヤァー」と“sudo shutdown -r now”してあげたら起動しなくなっちゃった.....ってのを思い出しました（笑
塚長杉＞opener って感じ。
Sophos virus analysis: SH/Renepo-A なんてのも挙ってるんですね。もう。
まぁしかしこの opener 。opener自体のコメントに
# To install this script you need admin access or
# physical access (boot from a CD or firewire/usb, ignore permissions on the internal drive) or
# write access to either /Library/StartupItems /System/Library/StartupItems or
# write access to any existing StartupItem (which you can then replace with this script) or
# write access to the rc, crontab, or periodic files (and have them run or install the script) or
# you could trick someone who has an admin account into installing it.
とあるように、肝は管理者権限を渡さないとかパスワードをきちんとして漏らさないとか物理的アクセスを許さないとか、それこそ Tomio さんがまとめて下さっている Mac OS Xユーザーのためのセキュリティ に書かれているようなことをまず実践するのが重要な訳で。
それでも心配なら Osiris 使うとか。
openerにやられたかどうか知りたいだけなら Checkmate に /etc/hostconfig をチェックさせるだけでいーのかも。Pantherで動くのか試してさえいないけど。
てゆーかね。
$ sudo ls -l /Users/*/Public/.info
Password:
ls: /Users/*/Public/.info: No such file or directory
が確認法だってのは悲しいよなぁ...。
いやまぁ、確かにまず試してみるってのは良いかも知らんけど、これで安心してもなぁ...。
「.info」が「.hoge」だったらどーすんだっつー...。
フツーはこのまんま使わないだろーし＞opener。一部抜粋して使うとかならともかく。
やることなすこと派手すぎるっつーか、無駄が多いっつーか。
何つーかこぉ、今んとこvirusとかwormとかmalwareとかrootkitとかって判断するより、こぉ、将来のMac OS X向けrootkitのブレインストーミングを今（彼らが）してる。のを（私が）眺めてる。って感じでしょうかね。
と、ここまで書いて、やっとSophosがなんで「Renepo」と命名したのか解ったオレ...orz
なぁんて
おもむろに復活してみましたが。
皆様お元気でしょうか。
各方面、諸々ご無沙汰してて申し訳有りません。
私は相変わらずバタバタしております。
9/1からとある会社に勤め始めていたりも。
いや、真面目に正社員なんかやるもんじゃないですね。
日記の更新する暇ないんだもん（笑
