Macに「Launch Deamon」やログインアイテムがインストールされると警告を表示してくれるマルウェア対策アプリ「BlockBlock」のベータ版を使ってみた。

OS X

2015.07.062016.08.03

記事内に広告が含まれています。

　Macに「Launch Deamon」やログインアイテムがインストールされると警告を表示してくれるマルウェア対策アプリ「BlockBlock」のベータ版を使ってみました。詳細は以下から。

　BlockBlockは元NSAのセキュリティチームで現在は脆弱性チェックサービスSynackのR&D部門でディレクターを務めるPatrickさんが開発しているマルウェア対策アプリで、執拗に起動しようとするマルウェアと特定しブロックする機能があります。

Objective-See@objective_see

BlockBlock v0.9.1 released 🙂 supports ‘dark-menu’ mode, option 2 remember action, new ‘proc ancestry’ button & more https://t.co/aPeCfKfYdq

2015/05/21 15:40:39

Malware installs itself persistently, to ensure it’s automatically re-executed at reboot. BlockBlock continually monitors common persistence locations and displays an alert whenever a persistent component is added to the OS.

[BlockBlock (beta) – Objective-See]

BlockBlockのシステム

　OS XにはXProtectというAppleが指定しているマルウェアやウィルスをブロックし削除する機能が備わっていますが、

　Patrickさんが開発しているBlockBlockの概念はシンプルで、BlockBlockをインストールするとデーモンが常駐し、新しいkextや”Launch Deamon”や”Agent”, ログインアイテムのインストールを監視し、それらがインストールされると警告を表示してくれます。

Though BlockBlock is conceptually simple, it is a rather complex piece of software.
BlockBlock is made up of two main components, a user-mode daemon running as root, and a user-mode agent running as the logged-in user (there can be multiple such agents if BlockBlock is installed for several users on the same system).
The daemon monitors various persistence locations to detect any new items. Specifically it (currently) watches for new kexts, launch daemon & agents, and new login items via the fsevents device (/dev/fsevents).

[BlockBlock (beta) – Objective-See]

使ってみた

まず、BlockBlockをPatrickさんが運営するObjective-Seeからダウンロードしてインストール。

　BlockBlockはメニューバーにアイコンが常駐し、使用／非使用が簡単に切り替えられるのでアプリのインストール時だけ使用することも可能で、先ほどの説明通りシステム権限を必要とするアプリが新しいkextや”Launch Deamon”や”Agent”, ログインアイテムをインストールしようとするとプロセスIDや”Launch Deamon”ファイルの保存先やDemonが起動しようとするバイナリの詳細を表示してくれます。