「Mac OS X向けに、新しいトロイの木馬」記事へのコメント

回避策

[Anonymous Coward]

これをトロイって呼ぶのか知らないが AppleScript で rm -rf って呼び出してるので、
rm -i にエイリアスを張るのが一応の回避策かな。

A warning on a new destructive 'trojan horse' [macosxhints.com]

Re:回避策

[flutist (16098)]

AppleScriptがログイン・シェルを通じてコマンドを実行するなら、それも効果があるかもしれませんが、システムコールでexecとかspawnとかしてるなら、回避できないと思います。

/bin/rmを他の名前に変えちゃって、rm -iなシェル・スク

Re:回避策

[Anonymous Coward]

システムコールをたたかれたら，/bin/rmの名前を変えても無駄です。

/bin/rmは，システムライブラリのunlink()などを呼び出しているに過ぎないわけですし。そのunlink()も内部的にはsyscall(SYS_unlink,)を呼び出しているに過ぎないでしょう。

トロイの木馬は実行された時点で防ぐ手だてはありません，実行したユーザーにできることはすべて行うことができます。

これだけだと不親切なので…，rmだけでファイルを消せなくしたければ，情報を見るからファイルをロックです。もちろんこれも正しい手順で行えば消せますが，消しにくくはなります。

Re:回避策

[Gururi (14221)]

＞rmだけでファイルを消せなくしたければ，情報を見るからファイルをロックです。
ちょい補足。Finderでは表示されないドットファイルに対しては、コマンドラインから
/Developer/Tools/SetFile -a L ファイル名
でロックできます(要Developer Tools)。外すときは
/Developer/Tools/SetFile -a l ファイル名
で。
＃TinkerToolsとかで表示させるという手もあるか。

Re:回避策

[flutist (16098)]

> システムコールをたたかれたら，/bin/rmの名前を変えても無駄です。

AppleScriptが実行に際してrmコマンドを実行するのに、まさかunlinkは使わないでしょう。普通にforkとかexecとかの汎用のルーチンじゃないですかね。

Re:回避策

[Anonymous Coward]

>AppleScriptが実行に際してrmコマンドを実行するのに、まさかunlinkは使わないでしょう。

今回はたまたまAppleScriptを使って，ターミナルから/bin/rmを呼び出していたというだけです。

将来，同様な悪意あるプログラムが，直接システムコールを叩くことができる