Появи се първият в света вирус-грабител под Mac

Компанията за изследване на компютърната сигурност Palo Alto Networks обяви, че е успяла да открие жертвите на първия вирус под OS X, който криптира твърдия диск и иска пари. Жертви са станали потребителите на BitTorrent-приложението, наречено Transmission. Тези, които са изтеглили заразената версия на приложението са получили вирус, наречен KeRanger. Той криптира потребителския твърд диск три дни след инсталирането и започва да иска пари за възстановяване на достъпа до данните.

„Това е изненадващо, тъй като вирусите-грабители са изключително популярни под Windows и мобилните платформи. Това е една от най-често срещаните схеми за киберпрестъпления… Но фактът, че вирусът се разпространява чрез легитимно приложение доказва, че отново ще видим същата ситуация“ — отбеляза Райън Олсън от Palo Alto Networks.

KeRanger блокира достъпа до данните след 72 часа и изисква такса за достъп 1 биткоин (около $410 по текущия валутен курс). Вирусът по някакъв начин попада в инсталатора на Transmission версия 2.90. Веднага след като се вдигна шум, екипът на Transmission пуснаха съобщение, че всички потребители на приложението трябва незабавно да го обновят до версия 2.91 или да премахнат актуализация 2.90.

Приложението, съдържащо KeRanger, е подписано от действащия сертификат за разработки (Mac app development certificate), т.е. той може да заобикаля защитата Apple Gatekeeper.

Заразеното приложение Transmission съдържа допълнителен файл с името General.rtf, в папката Transmission.app/Contents/Resources. Той използва иконата, която изглежда като невинен RTF файл, но наистина е изпълним файл, благодарение на UPX 3.91. Ако потребителят инсталира заразеното приложение и го стартира, General.rtf се копира в ~/Library/kernel_service и изпълнява kernel_service още докато на компютъра се зарежда потребителския интерфейс на програмата.

KeRanger изчаква три дни, преди да установи връзка с управляващите сървъри чрез анонимната мрежа Tor, а след това блокира достъпа до данните.