Erste erfolgreich agierender Ransomware für OS X ist unterwegs

[kermitd]

Wenn die datei erst nach dem Upload durch das transmission Team verändert wurde stellt sich mir die Frage, welches System eigentlich kompromittiert wurde.

Eigentlich war dann ja das Serverbetriebssystem von Transmission im Fokus...

Klar. Deswegen dürfte es auch extrem schwierig für Apple sein, so einen Fall völlig auszuschließen bzw. zu entschärfen ohne die Möglichkeiten legitimer Apps unter OS X erheblich einzuschränken.

Der (oder die) Urheber hat es geschafft, die heile OS X-Welt zu beschädigen und hat es m.M.n. bewusst genau darauf angelegt: Zu zeigen, dass auch OS X gefährdet ist. Nach den Linux-Servern und WordPress nun halt auch OS X.

Wie rasch sich doch mancher Wunsch erfüllt:

es wird Zeit, daß die Malware-Hersteller auch mal den Mac-Markt für sich entdecken. Dann würde zumindest DIESE unsägliche "Diskussion" ein Ende haben.

 

[Luciferus]

@Madcat - Wie wahrscheinlich ist es, dass ein OS X User die unbekannte Anwendung startet von der er nicht weiß was sie tut wenn sie gestartet ist? Ich denke eher daran, dass die Medien einen großen Beitrag zur Warnung geleistet hat, und jeder versucht hat sich zu erkundigen (Könnte meinen letzten Beitrag ein wenig widersprechen, glaube ich).

 

[rechnerteam]

Schon OS9 war diesbezüglich gefährdet: Ich muss ja "nur" den User dazu bekommen meine Software zu starten. Dieses "Problem" wird man nie lösen können.

Ich meinte jetzt speziell CrytoLocker, die momentan „die Pest” sind. Es gab ja schon Drive-by-Downloads, die ein Bot-Netz erstellten und für OS9 sogar ein paar echte Viren.

 

[Hausbesetzer]

Schon OS9 war diesbezüglich gefährdet: Ich muss ja "nur" den User dazu bekommen meine Software zu starten. Dieses "Problem" wird man nie lösen können.

Völlig korrekt - ich denke mal 95% aller User klicken die Gatekeeper Warnung beim Start von neuen Apps auch ungelesen weg

 

[Olivetti]

Kann mir ehrlich gesagt nicht vorstellen, dass ein Bittorrent-Client unter OS X in 32 Stunden soo viele neue Nutzer findet.
...
Rückt aber die Tatsache ins Blickfeld, dass ich mir von den Transmission-Verantwortlichen irgendwie noch wesentlich mehr Informationen über die Umstände des Sicherheitslecks erhoffen würde.

“Our best guess at this point is that approximately than 6,500 infected disk images were downloaded. Of those, our presumption is that many were unable to run the infected file due to Apple quickly revoking the certificate used to sign the binary, as well as updating the XProtect definitions,” Clay said. “We’re waiting on confirmation from Apple on that.”
KeRanger OS X Ransomware Impact Likely Mitigated

... welches System eigentlich kompromittiert wurde.
Eigentlich war dann ja das Serverbetriebssystem von Transmission im Fokus...

nein, denk' an das ziel des angriffs. transmission und deren server sind nur transportvehikel.

Warum es dann doch so viele trotzdem tun?

Naivität oder schlicht Dummheit?

john mcafee tituliert diese leute gerne mit »Idioten«.

 

[Luciferus]

john mcafee tituliert diese leute gerne mit »Idioten«.

Ja das trifft es natürlich voll und ganz *Kaffee schlürf*

 

[Olivetti]

und manchmal bezieht er sich selbst auch ein: »So, if I look like an idiot, it is because I am speaking to idiots.«

jm for president.

 

[Kaito]

2. Eine Open Source App bei welcher Änderungen am Code eigentlich sofort auffallen sollten.

Das hat damit überhaupt nichts zu tun, der Quellcode war zu jeder Zeit ständig "sauber", das Kompilat wurde verändert. Hättest du Transmission stets selbst kompiliert wärst du zu keinem Zeitpunkt gefährdet gewesen.

 

[iPhill]

Mit einem simplen Time Machine Backup sollte jedenfalls eigentlich niemand wichtige Daten in diesem Fall verlieren...

Wer wills ausprobieren?

Hab's eben ausprobiert - wurde direkt von Bitdefender erkannt und entfernt. Interessant wäre, ob Bitdefender es auch schon letzte Woche erkannt hätte oder erst jetzt, nachdem die Signaturen offiziell für invalid erklärt worden sind.

 

[Lucifor]

Völlig korrekt - ich denke mal 95% aller User klicken die Gatekeeper Warnung beim Start von neuen Apps auch ungelesen weg

ähm genau das denke ich ist etwas anders
Zumindest bei mir ist es so das ich zu meinen Windowszeiten ehrlich gesagt gaerade bei einer Neu Installation fast nur ungelesen weggeklickt habe.
NAchdem ich auf OSX umgestiegen bin, ist das aber vollkommen anders. Wenn der Gatekeeper aufplöppt, werd ich extrem hellhörig und klicker sicher nicht ungelesen weg, hack das PW mal eben ein...

 

[Hausbesetzer]

ähm genau das denke ich ist etwas anders
Zumindest bei mir ist es so das ich zu meinen Windowszeiten ehrlich gesagt gaerade bei einer Neu Installation fast nur ungelesen weggeklickt habe.
NAchdem ich auf OSX umgestiegen bin, ist das aber vollkommen anders. Wenn der Gatekeeper aufplöppt, werd ich extrem hellhörig und klicker sicher nicht ungelesen weg, hack das PW mal eben ein...

95% passt immer noch

 

[kermitd]

Der Witz (und Unterschied zu Windows) ist doch dass die Gatekeeper-Warnung aus eben diesem Grund standardmäßig gar nicht weggeklickt werden kann. Bzw. kann schon, aber dann startet das Programm eben nicht. Ist natürlich nur für unsignierte Apps relevant. Aber da hat sich Apple schon was bei gedacht.

 

[Hausbesetzer]

Ist natürlich nur für unsignierte Apps relevant. Aber da hat sich Apple schon was bei gedacht.

Anhang anzeigen 177945

Wir reden ja hier aber nur über signierte Apps

 

[kermitd]

Wir reden ja hier aber nur über signierte Apps

Dann ist doch Gatekeeper gar nicht relevant?

 

[Hausbesetzer]

Dann ist doch Gatekeeper gar nicht relevant?

Doch Gatekeeper passt ja auf, dass nur signierte Apps starten und wenn, dann bekommt man beim ersten Start die Bitte, den Start zu bestätigen

 

[tocotronaut]

....

 

[kermitd]

Doch Gatekeeper passt ja auf, dass nur signierte Apps starten und wenn, dann bekommt man beim ersten Start die Bitte, den Start zu bestätigen

Du meinst die Warnung, dass eine App aus dem Internet heruntergeladen wurde? Bin mir nicht sicher, ob das Gatekeeper ist. Die Warnung gabs ja glaube ich auch schon in SL. Aber dann weiß ich was Du meinst. Da klickt man sich wahrscheinlich durch, ja. Es sei denn man wäre extrem überrascht von der Tatsache dass da etwas aus dem Internet stammen soll...

 

[iPhill]

Zum eigentlichen Thema: Was mich interessiert ist ob es nicht theoretisch zumindest möglich wäre, Ransomware ganz allgemein auszusperren, indem man für jegliche Dateiverschlüsselungen auf Systemebene ein Passwort eingeben müsste, ganz so, wie wenn ich FileVault starte oder eine .pkg Datei installieren will. Müsste das nicht auf "einfache Art und Weise" machbar sein, seitens Apple? - Denn jetzt mal von Kryptotrojanern abgesehen sind die meisten anderen Viren/Trojaner/Malwares etc. ja eigentlich "relativ harmlos" . . .

 

[Olivetti]

nein, das ginge nur, wenn du nur noch 3 prozesse von apple erlaubst.
das kommt erst in 10.15 und reicht vermutlich einigen auch.

z.b. bankingtrojaner halte ich nicht für harmlos.

 

[kermitd]

Apple hat mit der Sandbox ja im Prinzip schon eine Lösung die Office beispielsweise nutzt. Vielleicht kommt eine zusätzliche Gatekeeper-Einstellung nur Apps zuzulassen die entweder aus dem Mac App Store oder von identifizierten Entwicklen kommen UND in der Sandbox laufen [*]. Dann könnte man immer noch entscheiden, ob man das "Sicherheitsrisiko" eingeht Programme zu starten, für die das nicht der Fall ist. Allerdings dürfte das natürlich in der Praxis aktuell ständig anschlagen. Und Apple hätte es vermutlich lieber wenn die Programme dann gleich in den App Store wandern. Leider ist der Trend ja auch eher den App Store zu verlassen, weil man gerade nicht bereit oder in der Lage ist sich mit den Sandbox-Bedingungen zu arrangieren. :/

edit: * vielleicht mit entsprechendem Hinweis, was für Möglichkeiten die App hat