ไฟล์ลางร้ายนี้จบลงอย่างไรในโฟลเดอร์ Application Support ของฉัน

การลบไฟล์นี้จะทำให้ทั้ง internets เสียเพื่อประโยชน์ของลูก ๆ ของเราอย่าทำมัน!

ใบเสนอราคาข้างต้นคือเนื้อหาของไฟล์ข้อความชื่อSTR8369805638PUB6932583035105ที่ฉันได้ค้นพบในวันนี้~/Library/Application Supportโดยใช้เทอร์มินัล

ฉันพบกระทู้ในฟอรัม Appleของใครบางคนที่มีปัญหาเดียวกัน มันถูกกล่าวถึงในฟอรัมเยอรมันด้วย

ไฟล์ที่ไม่สามารถมองเห็นได้โดยใช้ Finder ผมค้นพบว่ามันเพราะผมเคยทำขณะที่อยู่ในls~/Library/Application Support

นี่คือลักษณะของไฟล์ในโปรแกรมแก้ไขไบนารีสิ่งเดียวที่แปลกคือไฟล์นั้นลงท้ายด้วย CR (0D) แม้ว่าจะเป็นไฟล์ล่าสุด (ถูกสร้างในเดือนตุลาคม):

ใครบ้างมีความคิดว่าไฟล์นี้อาจมาจากไหน?

ฉันพบผู้ร้าย!

ขอบคุณคำแนะนำของ @Mark Thalkman ฉันสร้างสคริปต์ DTrace เพื่อตรวจสอบแอปพลิเคชันที่เข้าถึงไฟล์นั้น

แอพลิเคชันที่สร้างไฟล์ที่เรียกว่าAppWrapper /Library/Application Supportวิธีที่ฉันค้นพบก็คือการมองไปที่โฟลเดอร์ที่สร้างขึ้นในเดือนตุลาคมใน มีเพียงสองappWrapperและeSellerate. ดังนั้นฉันจึงดาวน์โหลด AppWrapper อีกครั้งและหลังจากเปิดตัวสคริปต์ตรวจพบว่ากำลังเข้าถึงไฟล์

ฉันแน่ใจว่านักพัฒนาที่ทำผิดและแทนการบันทึกไฟล์ภายในโฟลเดอร์ที่เขาบันทึกไว้ในappWrapper~/Library/Application Support

สำหรับผู้ที่สนใจนี่คือสคริปต์:

#!/usr/sbin/dtrace -s

\#pragma D option quiet

BEGIN
{
  printf("\n   Timestamp           gid   uid   pid  ppid execname     function           current directory file name\n\n");
}

syscall::open:entry,   
syscall::unlink:entry,  
syscall::rename:entry
/strstr(stringof(copyinstr(arg0)), $1) != NULL/
{
      printf("%Y %5d %5d %5d %5d %-12s %-10s %25s %s\n", walltimestamp, gid, uid, pid, ppid, execname, probefunc, cwd, stringof(copyinstr(arg0)));
}

คุณอาจไม่สามารถติดตามกระบวนการที่เขียนไฟล์นั้น แต่ทำไมไม่ลอง

หยิบสำเนาของfseventerหรือค้นหาชื่อไฟล์นั้นในฟิลด์ Time Machine spotlight เพื่อดูว่าคุณสามารถ จำกัด ให้แคบลงเมื่อมาถึงบน Mac ของคุณได้หรือไม่