Расследование вредоносного файла DMG на MacOSX

Question

У меня есть Android Studio на моем MAC. Пока я его устанавливал, я пошел проверить SHA256 . Поэтому я понял, что это не оригинальная упаковка. Я хотел бы понять, что это, почему, и изучить, какие у меня есть выбор.

Прежде всего, я знаю, что не должен был начинать установку до проверки подписи. Я знаю, мой плохой. Таким образом, попытка исправить ситуацию и разобраться с этим могла бы случиться.

У меня есть несколько вещей, которые я хотел бы понять:

1. Если подпись не совпадает, это на 100% уверен, что это вредоносный пакет?

2. Если да, какой инструмент я могу использовать, чтобы узнать, что внутри этого пакета, и что он сделал с моей машиной?

3. Какой инструмент я могу запустить, чтобы проверить, была ли какая-либо команда ОС перезаписана? Я имею в виду, я не уверен, даже если простая операция копирования может сделать что-то еще.

4. Я хотел получить реальный DMG и сравнить со странным, есть ли способ сравнения двух файлов DMG? Какая-то команда diff?

Я не эксперт по безопасности, но я изучаю лучшие методы, как сделать вещи более безопасными. Я почти уверен, что получаю много вредоносных писем, файлов и попыток подключения. Просто пытаюсь научиться защищать себя немного больше.

Я хотел бы избежать перезагрузки машины, но, похоже, это лучший путь. Но мне нужны мои резервные копии ... Так

Кто-нибудь может помочь?

ОБНОВИТЬ:

Имена файлов одинаковые, версия та же: android-studio-ide-173.4819257-mac.dmg

Я запустил: shasum -a 256 android-studio-ide-173.4819257-mac.dmg

И я получил это: d4a8502c5aabfc5477ff30dfffe296bf705bd7e62650a76796b646a8f28b5e5c

И я должен получить это (от developer.android.com):21ec7cf480bfa05ff90594e9cebd0f79892e41d37b4a14988dce04a6fbb76b58

Я не знаю, насколько это актуально, но я получил сообщение от MacOSX, в котором говорится:

оценка отклонена для android-studio-ide-173.4819257-mac.dmg com.apple.message.domain: com.apple.security.assessment.outcome2 com.apple.message.signature2: комплект: UNBUNDLED com.apple.message.signature4: 3 com.apple.message.signature3: android-studio-ide-173.4819257-mac.dmg com.apple.message.signature5: НЕИЗВЕСТНО com.apple.message.signature: отказано: нет используемой подписи SenderMachUUID: F8DBBA1F-DCAE-3434- 9083-DC560D8032D5

Answer 1

Если подпись не совпадает, это на 100% уверен, что это вредоносный пакет?

Нет. Вы только знаете, что контрольная сумма пакета отличается от той, которую отправил разработчик. Причиной этого также является то, что загрузка повреждена (проверьте и посмотрите, что происходит, когда вы загружаете оригинал во второй раз, отличается ли это от первой загрузки?)

Answer 2

Мне кажется, что образ диска правильный, и все, что неправильно, это то, что на сайте по какой-то причине указан неправильный SHA256.

Я только что загрузил образ диска с https://developer.android.com/studio/#downloads и получаю ту же контрольную сумму SHA256, что и вы. Файл приложения в образе диска имеет действительную подпись от Google (см. Ниже), и я не вижу ничего другого в образе диска, который может быть подозрительным. Обратите внимание, что сам образ диска не подписан, но это не проблема.

$ codesign -dvvv --deep /Volumes/Android\ Studio\ 3.1.3/Android\ Studio.app
Executable=/Volumes/Android Studio 3.1.3/Android Studio.app/Contents/MacOS/studio
Identifier=com.google.android.studio
Format=app bundle with Mach-O universal (i386 x86_64)
CodeDirectory v=20200 size=537 flags=0x0(none) hashes=11+3 location=embedded
Hash type=sha256 size=32
CandidateCDHash sha1=bac9739e22e0c9da7499d33bafc4b211b1950cc4
CandidateCDHash sha256=6507a87b8b1e550e5467d2a8ecd82c9dc02a27f4
Hash choices=sha1,sha256
CDHash=6507a87b8b1e550e5467d2a8ecd82c9dc02a27f4
Signature size=8949
Authority=Developer ID Application: Google, Inc. (EQHXZ8M8AV)
Authority=Developer ID Certification Authority
Authority=Apple Root CA
Timestamp=Jun 4, 2018, 2:33:20 PM
Info.plist entries=20
TeamIdentifier=EQHXZ8M8AV
Sealed Resources version=2 rules=13 files=13287
Internal requirements count=1 size=188

$ codesign -vvvv --deep /Volumes/Android\ Studio\ 3.1.3/Android\ Studio.app
/Volumes/Android Studio 3.1.3/Android Studio.app: valid on disk
/Volumes/Android Studio 3.1.3/Android Studio.app: satisfies its Designated Requirement

$ spctl -avvv /Volumes/Android\ Studio\ 3.1.3/Android\ Studio.app
/Volumes/Android Studio 3.1.3/Android Studio.app: accepted
source=Developer ID
origin=Developer ID Application: Google, Inc. (EQHXZ8M8AV)

$ codesign -dvvv ~/Downloads/android-studio-ide-173.4819257-mac.dmg
/Users/gordon/Downloads/android-studio-ide-173.4819257-mac.dmg: code object is not signed at all