KnockKnock

KnockKnock:

Вредоносное ПО для macOS преследует одну главную цель: оставаться в системе незамеченным даже после перезагрузки. Этот процесс называется «обеспечением устойчивости» (persistence). KnockKnock - это специализированный сканер, который проверяет не все файлы подряд, а только те, что имеют механизмы автоматического запуска. 

Название программы - это отсылка к вопросу «Кто там?». Утилита буквально спрашивает систему: «Кто здесь прописался без моего ведома?». 

Основные возможности и модули сканирования

Анализ механизмов автозапуска (Persistence) KnockKnock проверяет десятки категорий, где могут прятаться вирусы и шпионское ПО: 

Launch Items: Стандартные агенты и демоны запуска (LaunchAgents/LaunchDaemons).

Kernel Extensions: Расширения ядра, которые имеют максимальные привилегии.

Login Items: Приложения, запускающиеся при входе пользователя.

Cron Jobs: Устаревшие, но всё еще эффективные задания по расписанию. 

Интеграция с VirusTotal

Как и LuLu, KnockKnock глубоко интегрирован с облачным сканером VirusTotal. Каждому найденному элементу присваивается статус: если файл помечен как опасный хотя бы одним антивирусом из базы, программа мгновенно подсветит его красным цветом. 

Проверка цифровой подписи

Большинство системных файлов macOS подписаны Apple. KnockKnock автоматически проверяет подлинность подписи каждого объекта. Если файл не имеет подписи или она недействительна (unsigned), это серьезный повод для детальной проверки, так как малварь редко имеет легальную подпись разработчика. 

Сканирование браузерных расширений

Часто рекламное ПО (adware) прячется в расширениях Safari или Chrome. KnockKnock выводит их в отдельный список, позволяя быстро найти «мусорные» плагины, которые крадут историю поиска или вставляют рекламу. 

Обнаружение Spotlight Importers и скриптов Программа заглядывает в глубокие уголки системы, такие как плагины Spotlight и скрипты оболочки ( -