如何檢查您的 Mac 是否已感染 Flashback 木馬(Trojan Horse)？

雖然已經不算是新的東西，不過最近Mac上有個越來越紅的木馬「Flashback」。一開始是被偽裝成Flash Player的安裝程式，不過現在已經出現了變種，可以透過瀏覽惡意網站時經由Mac OS X的Java漏洞感染。

偽裝成Flash Player安裝程式的Flashback木馬（左）與真的Flash Player安裝程式介面（右）。

而根據俄羅斯的反病毒公司Dr. Web的宣稱，目前全球已經有超過55萬台Mac受到此木馬感染。該公司的分析師Sorokin Ivan隨後更在Twitter上表示，感染台數已經超過60萬台，甚至其中有274台位於加州Cupertino（Apple總部所在地）。而感染Flashback的Mac中，大約有57%位於美國，20%在加拿大。

Mikko Hypponen@mikko2012 4月 4

Dr. Web estimates that half a million Macs were infected by the Flashback trojan.averysawaba.blogspot.com/2012/04/over-h…We can't confirm or deny the figure.

Sorokin Ivan@hexminer

@mikko, at this moment botnet Flashback over 600k, include 274 bots from Cupertino and special for you Mikko - 285 from Finland

2012 4月 5

• 返信
• リツイート
• お気に入りに登録

總之，目前Apple已經發佈了新的安全更新來修補Java的漏洞，至於要檢查您的Mac是否已經感染Flashback木馬，可以使用由F-Secure提供的檢查法……

首先請先打開Mac OS X的終端機後，輸入：

defaults read /Applications/Safari.app/Contents/Info LSEnvironment

如果回應的訊息內有出現「The domain/default pair of (/Applications/Safari.app/Contents/Info, LSEnvironment) does not exist」的話，接著輸入……

defaults read ~/.MacOSX/environment DYLD_INSERT_LIBRARIES

如果回應中包含「The domain/default pair of (/Users/joe/.MacOSX/environment, DYLD_INSERT_LIBRARIES) does not exist」的話，就表示您的Mac並未受到感染。

如果在終端機內的回應沒有如上述的步驟出現的話，您可能就需要參考 F-Secure 提供的 Flashback木馬移除手續 了。