Argomenti dell'articolo
Nessun riposo per Apple sul fronte sicurezza. Dopo i continui attacchi subiti prima con il KeyRaider, YiSpecter, ed infine con la segnalazione delle infinite falle che hanno causato diversi furti di dati dei clienti ecco una nuova minaccia: KeRanger.
KeRanger è il primo ransomware completo per sistemi Mac OsX che pare abbia già colpito alcune macchine della casa della mela, lasciando agli utenti un’unica schermata con le modalità di pagamento per sbloccare il computer. A scoprirlo sono stati ricercatori dell’azienda di sicurezza Palo Alto Networks.
Ma di cosa si tratta?
Abbiamo già affrontato l’argomento parlando di CryptoLocker. In buona sostanza come una variante Mac del più famigerato CryptoLocker, si tratta un tipo di malware che si installa illegalmente sul computer dell’utente, senza che questo abbia dato un’autorizzazione e limita l’accesso del dispositivo, richiedendo un riscatto – ransom in Inglese – da pagare per rimuovere la limitazione. Ad esempio alcuni bloccano il sistema operativo e intimano l’utente a pagare per sbloccarlo, altri invece cifrano i file dell’utente chiedendo di pagare per riportare i file cifrati in chiaro.
Ad annunciare la scoperta è stata Palo Alto Network che ha identificato all’interno di alcune copie modificate del popolare client per scaricare contenuti dalla Rete p2p, Trasmission (nello specifico nell’installer della versione 2.90) la porzione di codice malevolo estraneo denominato “KeRanger”.
Questo è quanto è stato reso noto dalla casa di Cupertino. Rimane oscuro il modo in cui i cyber criminali siano riusciti a bucare l’applicazione, anche se si sa con certezza che l’infezione ha avuto luogo il 4 marzo scorso, data di rilascio della versione 2.90.
Ma i clienti Apple come possono verificare se il loro sistema è infetto?
E’ possibile appurarlo attraverso qualche rapido passaggio, riportato dal blog di Palo Alto Network. Come prima cosa è bene individuare la presenza di un file su General.rtf, (e in caso affermativo eliminarlo il prima possibile spostandolo nel cestino avendo cura di svuotare lo stesso di seguito) esaminando con particolare attenzione le cartelle /Applications/Transmission.app/Contents/Resources/ e /Volumes/Transmission/Transmission.app/Contents/Resources/ ; questo file utilizza un’icona che assomiglia a un file RTF normale, ma in realtà si tratta di un file eseguibile Mach-O compresso con UPX 3.91 e quindi l’app Transmission è infetta e dovrà esssere rimossa al più presto.
Come fare per rimuovere il Virus?
Semplice: aprite “Monitoraggio Attività” e controllate se il processo “kernel_service” è attivo. In tal caso premete due volte sulla relativa voce e nella finestra andate su “Porte e file aperti”; nella lista di file verificate se /Users/<nomeutente>/Library/kernel_service. In tal caso KeRanger è attivo. Chiudetelo forzandone (kill) l’arresto.
Inoltre è stato reso noto che alla prima esecuzione, KeRanger genera tre file “.kernel_pid”, “.kernel_time” e “.kernel_complete” nella directory nella cartella “~/Library directory” (di cui raccomandiamo l’eliminazione), per poi rimanere dormiente per tre giorni prima di attaccare il sistema. Per concludere le operazioni di pulizia gli utilizzatori di Trasmission possono semplicemente scaricare la versione 2.92. L’update, infatti, non solo rimuove i file della vecchia versione ma anche il codice malevolo presente nell’installer.
