macOS下malware移除实战之【TotalSearch的http://8sa 弹窗移除】

声明：

由于网络中的病毒/malware等存在随时变异或者对应多种感染方式等情况，本文所针对的处理方法仅针对本次样本负责，个人如有误操作，后果自负。如需帮助，可以加我微信！

前段时间收到反馈，某人感染了malware，大致的描述内容如下：

Keep getting this engine search up in safari every time I look to search for something. The system keeps defaulting to this(see attached) which I have to keep removing before I can use a search engine. Can you help remove it? 

向对方获取了一些基本的文件和浏览器信息，发给解决问题的脚本，据对方回答是解决了，现将这个问题的相关可以文件和路径公布出来，以给同样问题的读者参考。

如果你有发现近期出现问题前后才生成的下述文件，请将其通过terminal终端运行进行移除。

根据用户反馈的信息，初步怀疑跟下述路径安装了的Safari插件有关：

~/Library/LaunchAgents/com.TotalSearch.plist
~/Library/Application\ Support/com.TotalSearch

~/Library/Safari/Extensions/FileApp.safariextz

sudo rm -rf /Library/LaunchDaemons/com.adobe.fpsaud.plist
sudo rm -rf ~/Library/Preferences/com.apple.Safari.plist
sudo rm -rf ~/Library/Application\\ Scripts/com.apple.Safari
sudo rm -rf /Library/Saved\\ Application\\ State/com.apple.Safari.savedState
sudo rm -rf /Library/Internet Plug-Ins/flashplayer.xpt

实际上，上述文件已经对当前Mac系统的影响不大，所以删除不会影响系统的正常运行。

可疑文件全部移除完成后，最好重置浏览器，再启动查看是否恢复正常。

 

如果觉得本文对你有帮助，那就赞一个或者评论一个吧！