Приложения-вымогатели добрались до Mac OS X

Исследовательская компания в воскресенье анонсировала обнаружение, как было сказано, первого в мире приложения типа ransomware, направленного исключительно на операционную систему Mac OS X компании Apple. Об этом сообщает Райна Олсон из компании Palo Alto Networks.

Ransomware-приложения широко распространены на платформе Windows и на мобильных устройствах. В ближайшем будущем OS X может присоединиться к ним. Программа носит название KeRanger и блокирует устройство, пока жертва не заплатит 1 биткоин, что по нынешнему курсу составляет $410. Она была обнаружена в составе популярного BitTorrent-приложения Transmission.

Недавно от приложения такого типа пострадала больница в Лос-Анджелесе, в результате чего ей пришлось заплатить выкуп в размере $17000. В июне 2015 года ФБР связалась с 992 жертвами приложения CryptoWall, которым в сумме пришлось заплатить $18 млн.

В субботу было замечено странное поведение версии Transmission 2.90, которая оказалась заражённой. Сайт Transmission был скомпрометирован, отчасти по причине использования ненадёжного соединения HTTP вместо зашифрованного HTTPS. После этого на сайте появилась рекомендация обновиться до версии 2.91 или удалить версию 2.90.

KeRanger было подписано настоящим сертификатом приложений Mac, за счёт чего обходило защиту Apple Gatekeeper. После установки запускался встроенный исполняемый файл. Через три дня KeRanger подключался к командному серверу через сеть Tor и начинал шифровать в системе файлы определённых типов. После этого появлялось требование выкупа, который должен был быть внесён на определённые адреса. KeRanger ещё находится в процессе разработки и пытается зашифровывать файлы Time Machine, чтобы сделать невозможным восстановление файлов из резервной копии.

Компания Palo Alto Networks сообщила о проблеме Transmission Project и Apple 4 марта. Apple устранила данный сертификат и обновила подпись антивируса XProtect, Transmission Project устранил вредоносные установщики со своего сайта. Palo Alto Networks обновила фильтрацию URL и Threat Prevention.