Bu kötü niyetli dosya Uygulama Destek klasörüme nasıl ulaştı?

Bu dosyayı silmek, tüm interneti bozacak, çünkü çocuklarımızın haberi yok!

Yukarıdaki alıntı, bugün bir terminali kullanırken göz attığım STR8369805638PUB6932583035105 adlı bir metin dosyasının içeriği ~/Library/Application Support.

Aynı konuya sahip birinin Apple forumlarında bir konu buldum . Aynı zamanda bir almanca forumunda tartışılmaktadır .

Dosya Bulucu kullanılarak görünmez, bir lssüredir yaptığım için keşfettim ~/Library/Application Support.

Dosyanın ikili düzenleyicide bu şekilde görünmesi tek garip olan şey, oldukça yeni olmasına rağmen dosyanın bir CR (0D) ile bitmesi olabilir (Ekim ayında oluşturuldu):

Bu dosyanın nereden gelebileceği hakkında fikri olan var mı?

Suçluyu buldum!

@Mark Thalkman'ın önerisi sayesinde bu dosyaya erişen uygulamaları izlemek için bir DTrace betiği hazırladım.

Dosyayı oluşturan uygulamaya AppWrapper denir . Keşfettiğim yol Ekim ayında oluşturulan klasörlere bakmaktı /Library/Application Support. Sadece iki tane vardı appWrapperve eSellerate. Bu yüzden tekrar AppWrapper'ı indirdim ve başlattıktan sonra script dosyaya eriştiğini tespit etti.

Geliştiricinin bir hata yaptığını ve dosyayı appWrapperkaydettiği klasörün içine kaydetmek yerine eminim ~/Library/Application Support.

İlgilenenler için, işte senaryo:

#!/usr/sbin/dtrace -s

\#pragma D option quiet

BEGIN
{
  printf("\n   Timestamp           gid   uid   pid  ppid execname     function           current directory file name\n\n");
}

syscall::open:entry,   
syscall::unlink:entry,  
syscall::rename:entry
/strstr(stringof(copyinstr(arg0)), $1) != NULL/
{
      printf("%Y %5d %5d %5d %5d %-12s %-10s %25s %s\n", walltimestamp, gid, uid, pid, ppid, execname, probefunc, cwd, stringof(copyinstr(arg0)));
}

Bu dosyayı yazan işlemi takip edemeyebilirsiniz, ancak neden denemeseniz.

Fseventer'ın bir kopyasını alın veya Time Machine spotlight alanında bu dosya adını arayın ve Mac'inize geldiğinde daraltıp daramayacağınızı görün.