Wie der Sicherheitsanbieter Palo Alto Networks bekannt gegeben hat, haben Mac-Nutzer, die kürzlich den BitTorrent-Client Transmission heruntergeladen und installiert haben, ihr System möglicherweise mit der Ransomware KeRanger infiziert. Den Hackern ist demnach offenbar eine Manipulation der auf der Website des Transmission-Projekts angebotenen Installationsdateien der Version 2.90 gelungen.
Transmission warnt auf seiner Website vor dem mit der Ransomware KeRanger verseuchten Installer (Screenshot: ZDNet.de).
In dem Blogeintrag von Palo Alto Networks heißt es: „Die KeRanger-Anwendung war mit einem gültigen Mac-App-Entwickler-Zertifikat signiert. Deswegen war sie in der Lage, Apples Gatekeeper-Schutz zu umgehen. Installiert ein Nutzer die infizierte App, wird eine eingebettete Datei ausgeführt. KeRanger wartet danach drei Tage, bis es sich über das Tor-Netzwerk mit einem Befehlsserver verbindet. Danach verschlüsselt die Malware bestimmte Arten von Dokumenten und Datendateien.“
Jedoch entspricht das Zertifikat nicht dem, mit dem frühere Versionen des BitTorrent-Clients ausgeliefert wurden. Es sei am 4. März auf die Developer-ID „Polisan Boya Sanayi Ve Ticaret Anonim Sirketi“, ausgestellt worden, die offenbar einem türkischen Farbenhersteller gehört oder aber in dessen Namen beantragt wurde.
Anschließend verlange KeRanger ein Lösegeld von einem Bitcoin (rund 400 Dollar), heißt es weiter in dem Blogeintrag. Die Malware sei damit die erste voll funktionsfähige Erpressersoftware für OS X.
Apple hat inzwischen das Entwicklerzertifikat zurückgezogen. Zudem aktualisierte es seinen Malware-Schutz XProtect, der nun KeRanger erkennen und entfernen kann. Das Transmission-Projekt weist auf seiner Website ebenfalls auf das Problem hin. Dort finden Betroffene die neue Version 2.92, die nicht nur frei von Schadsoftware ist, sondern auch in der Lage sein soll, KeRanger vollständig zu löschen.
Die schädliche Transmission-Version 2.90 wurde ab Freitagabend über einen Zeitraum von etwa 32 Stunden über die Website des Anbieters verbreitet. Betroffene Nutzer sollten prüfen, ob auf ihren Systemen in den Ordnern „Applications/Transmission.app/Contents/Resources“ oder „Volumes/Transmission/Transmission.app/Contents/Resources die Datei „General.rtf“ existiert. Paolo Alto beschreibt in seinem Blogeintrag auch, wie der zu KeRanger gehörende Systemprozess gestoppt und die Ransomware manuell gelöscht werden kann.
Im Februar war es Hackern gelungen, über die Website der Linux-Distribution Mint ISO-Dateien zu verteilen, die eine Backdoor enthielten. Betroffene schlossen sich unfreiwillig einem Botnet mit einigen Hundert infizierten Linux-Rechnern an. Als Einfallstor diente dem Hacker eine veraltete WordPress-Installation. Wie der manipulierte Installer auf die Website des Transmission-Projekts gelangte, ist indes nicht bekannt.
[Mit Material von Stefan Beiersmann, ZDNet.de]
Tipp: Wie gut kennen Sie Apple? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Neueste Kommentare
Noch keine Kommentare zu Transmission: Ransomware KeRanger infiziert OS X
Vielen dank für Ihren Kommentar.
Ihre Kommentar wurde gespeichert und wartet auf Moderation.