Erste erfolgreich agierender Ransomware für OS X ist unterwegs

[Luciferus]

Es gibt Virtual Box von Oracle.

Version 4.3.36 ist für Intel Mac's , die aktuellste nur amd von OS X

 

[rechnerteam]

Version 4.3.36 ist für Intel Mac's , die aktuellste nur amd von OS X

Dann hast Du jetzt gefunden, was Du suchtest, oder?

 

[Luciferus]

Jup

 

[IronM]

Gibt es schon betroffene Rechner,
oder ist das alles erst ein Verdacht,
das es so sein kann oder werden könnte
Danke der IronM

 

[Luciferus]

Die Top Antwort wäre, dass MacOS X nicht davon betroffen wäre weil die jeweiligen Programmierer der Schadsoftware von ******* abgelenkt waren und vergessen haben das Ding fertig zu stellen

 

[Hausbesetzer]

Gibt es schon betroffene Rechner,
oder ist das alles erst ein Verdacht,
das es so sein kann oder werden könnte
Danke der IronM

Da die Software erst heute irgendwann aktiv wird, ist das wohl noch nicht bekannt
Zumindest gibt es genug potentielle Ziele, das infizierte Paket war schon ne Zeit lang online

 

[kermitd]

Da die Software erst heute irgendwann aktiv wird, ist das wohl noch nicht bekannt
Zumindest gibt es genug potentielle Ziele, das infizierte Paket war schon ne Zeit lang online

Kann mir ehrlich gesagt nicht vorstellen, dass ein Bittorrent-Client unter OS X in 32 Stunden soo viele neue Nutzer findet. Der Sparkle-Update-Mechanisus hat sich ja geweigert, das modifizierte Update auszuliefern. Wobei möglicherweise Nutzer bei denen das Update per Sparkle fehlschlug, dann das Paket direkt von der Seite geladen haben und dadurch natürlich in die Falle getappt sind.

 

[Hausbesetzer]

Das wird wohl häufiger passiert sein als gedacht, stimmt

 

[kermitd]

Rückt aber die Tatsache ins Blickfeld, dass ich mir von den Transmission-Verantwortlichen irgendwie noch wesentlich mehr Informationen über die Umstände des Sicherheitslecks erhoffen würde. Mal schauen ob das baldig nachgeholt wird.

 

[rechnerteam]

Zumindest zu den Downloadraten hätte ich mir eine Auskunft erhofft. So ist alles wilde Spekulation.

Vermutlich wird die erste Variante nicht mehr so viel anrichten. Ich ordne das eher als Testlauf ein, schon allein wegen der drei Tage Wartezeit bis zur ersten Aktion. So wie Locky mutierte, vermute ich es auch hier.

Forbes liefert diese Infos.

FORBES learned from John Clay, from the Transmission Project, the site’s main server was compromised. “Security has since been increased. We don’t have any comment at this time as to the method of attack,” said Clay.

Clay claimed that from Friday 4 March, when the server was compromised, to Sunday 6 March, when action was taken by Apple and Transmission to fight KeRanger, the number of users who downloaded the infected files was likely around 6,500.

 

[Flapy]

SHICE...
ich hab Transmission genau in dem genannten Zeitraum von der Webseite geladen und hatte wohl mehr Glück als Verstand, dass ich noch die saubere 2.90er Version erwischt hatte...
Eine Stunde oder ein paar Minuten später und ich wär erledigt gewesen, weil ich das Programm gleich nach dem Laden geöffnet habe um zu sehen ob sich was in den Einstellungen geändert hatte...

Mann Mann Mann....jetzt bin ich aber auch sowas von verunsichert.

1. Da lädt man extra von der Entwicklerwebseite.
2. Eine Open Source App bei welcher Änderungen am Code eigentlich sofort auffallen sollten.
3. Eine infizierte Version welche so lange online steht.

Boah ne, echt ey!

Das ist jetzt definitiv ein SuperGAU der sich auch nicht mit DAU-User verkleinlichen lässt.

Was kann man jetzt noch machen?

Es gibt eben nicht alles im Mac App Store.

Jetzt muss man wohl echt 1-2 Wochen nach Veröffentlichung eines Updates außerhalb des MAS warten bis das Web "grünes Licht" gibt!


Wieso greifen hier keine Schutzmechanismen von OS X?
Klar, Apple hat sehr schnell reagiert und die XProtect aktualisiert. Aber in meinem Fall hätte das nichts gebracht, wenn die neue XProtect erst am nächsten Tag kommt.

Es gibt eben User die checken jeden Tag bestimmte Seiten ob es ein Update gibt, und laden es dann auch gleich und öffnen die App. Dann ist es passiert.


F R A G E:
Hätte die Ransomware auch meine "Time Capsule" welche im gleichen WLan hängt wie der Mac komplett verschlüsselt?

Dann wäre ich sowas von gefickt gewesen, weil ein Backup auf einer externen Festplatte uralt ist...

Da bin ich dem Daten-Tod nochmal von der Schippe gesprungen. Aber gaaanz knapp, ey!


Gibts schon Opfer hier bei MU?

 

[Olivetti]

Gibts schon Opfer hier bei MU?

ja, ein erstes hysterieopfer.

F R A G E: Blabla... TC...?
antwort: nein, diese version ist dazu nicht in der lage.

 

[Luciferus]

Na wenn Locky Windows und CMS und Co verschlüsselt, ist es doch eine Frage der Zeit bis auch andere Betriebssysteme "an der Reihe sind" . Oder sind die Schadcodeprogrammierer besoffen wenn die sich an Linux und OS X heran machen, weil Windows ihnen Reichtum verschaffte ?

 

[Olivetti]

die diskussion wird/wurde schon im locky-thread geführt.

 

[Madcat]

Was kann man jetzt noch machen?

Rechner ausschalten und zu Papier und Bleistift über gehen, also einen Retro-Fit durchführen
Alternativ kann man auch einen PPC-Mac benutzen, für den schreiben nur noch Idioten wie ich Software, die Schadsoftwareprogrammierer machen dafür nix mehr, lohnt sich ja net.

 

[Hausbesetzer]

Ich ordne das eher als Testlauf ein, schon allein wegen der drei Tage Wartezeit bis zur ersten Aktion.

Die technische Analyse hat schon gezeigt, dass im Code jetzt schon neue Teile vorhanden sind (Verschlüsselung von TimeMachine Backups, Remote-Fernsteuerung usw) aber noch nicht benutzt wurden - also der Schädling noch in Entwicklung ist.

 

[tocotronaut]

Wenn die datei erst nach dem Upload durch das transmission Team verändert wurde stellt sich mir die Frage, welches System eigentlich kompromittiert wurde.

Eigentlich war dann ja das Serverbetriebssystem von Transmission im Fokus...

 

[Luciferus]

die diskussion wird/wurde schon im locky-thread geführt.

Jo nochmal nachgelesen:

Abhängig von Marktanteile, Nutzermasse, Vebreitung und Bekanntheit - so wie ich das verstehe. Und natürlich die Aufmerksamkeitsfähigkeit der Nutzer... auch kapiert. Und das MacOs oder OSX schon mal Opfer diverser Angriffe war, habe ich auch kapiert.

Aber wenn es auf YouTube und Co. soviele Menschen gibt die versuchen einem so gut es geht, und in deutlicher Sprache, und sogar mit Live-Beispielen zu erklären "Sei bitte Vorsichtig mit dem was du am Computer machst, und auf welchen Seiten du surfst und welche Dateien du downloadest und welche Email-Anhänge du lieber nicht beachtest"... Warum es dann doch so viele trotzdem tun?

Naivität oder schlicht Dummheit? Ich bin sicherlich kein Experte... aber ich muss doch von Haus aus wissen, dass das Internet nicht so sicher ist wie es scheint.

 

[rechnerteam]

Eigentlich war dann ja das Serverbetriebssystem von Transmission im Fokus...

Aber nur bis zu dem Zeitpunkt, bis das kompromittierte DMG auf dem Server lag, denke ich.
Der (oder die) Urheber hat es geschafft, die heile OS X-Welt zu beschädigen und hat es m.M.n. bewusst genau darauf angelegt: Zu zeigen, dass auch OS X gefährdet ist. Nach den Linux-Servern und WordPress nun halt auch OS X.

 

[Madcat]

Zu zeigen, dass auch OS X gefährdet ist

Schon OS9 war diesbezüglich gefährdet: Ich muss ja "nur" den User dazu bekommen meine Software zu starten. Dieses "Problem" wird man nie lösen können.