Il primo ransomware per Mac OS X miete molte vittime

I tecnici di Palo Alto Networks hanno scoperto il primo vero ransomware per sistemi Mac OS X.
Chi, nelle scorse ore, avesse scaricato ed installato su Mac OS X il popolare client BitTorrent Transmission dal sito ufficiale è stato molto probabilmente oggetto d’infezione.

Sebbene gli amministratori del progetto Transmission non abbiano ancora chiarito ufficialmente in che modo sia stato possibile caricare, sul sito ufficiale, una versione modificata del software contenente il ransomware, è altamente probabile che un gruppo di criminali informatici possa aver sfruttato qualche vulnerabilità per aggiungere, al pacchetto d’installazione ospitato lato server, anche il codice nocivo.

La versione di Transmission contenente il ransomware è la 2.90: chi l’avesse installata, rischia di vedere crittografati tutti i dati personali e di ricevere una richiesta di riscatto di 1 bitcoin, pari a circa 365 euro.

Il primo ransomware per Mac OS X è stato battezzato KeRanger: una volta insediatosi sul sistema, dopo l’installazione di Transmission release 2.90, il malware resta “in silenzio” per tre giorni per poi cifrare i file dell’utente ed avanzare la richiesta di riscatto.

Questo comportamento avrebbe permesso di passare inosservato per diverse ore; tanto che i file, nel caso di molti utenti di Mac OS X, potrebbero non essere stati ancora crittografati.

Per verificare l’esistenza dell’infezione, Palo Alto Networks suggerisce di controllare la presenza dei file /Applications/Transmission.app/Contents/Resources/ General.rtf e /Volumes/Transmission/Transmission.app/Contents/Resources/ General.rtf.
La presenza dei file è sintomo dell’avvenuta infezione.

A questo punto, si dovrà aprire la finestra Gestione attività di Mac OS X e terminare il processo /Users/NOME_UTENTE/Library/kernel_service.
Da ultimo, si dovranno eliminare i file .kernel_pid, .kernel_time, .kernel_complete e kernel_service eventualmente presenti nella cartella ~/Library.

Le versioni di Transmission precedenti e successive alle versione 2.90 sono esenti da qualunque problema.