Erneut Mac-Malware via Transmission in Umlauf gebracht
Im März gab es schon einmal den Fall, dass sich zahlreiche Nutzer durch Installation des beliebten BitTorrent-Clients Transmission mit Malware infizierten (
). Prekär daran war, dass es sich um offizielle Downloads auf den Produktseiten handelte, denen ein Keylogger untergeschoben werden konnte. Sicherheitsforschern zufolge waren rund 6500 Nutzer betroffen, die sich zum Teil anschließend mit Lösegeldforderungen beschäftigen mussten - die Malware verschlüsselte nämlich essenzielle Daten und gab diese nur gegen Zahlung von 350 Dollar wieder frei. Jetzt ist es erneut derselbe BitTorrent-Client, der Nutzern neben der Software noch zusätzliches, ungewolltes Beiwerk mitlieferte.
Wer am 28. und 29. August Transmission herunterlud und installierte, hat sich damit wahrscheinlich auch das Keydnap-Package eingehandelt. Da Transmission selbst ordnungsgemäß signiert ist, verhindert Gatekeeper aus OS X auch nicht die Ausführung des schädlichen Codes. Sobald es Keydnap gelungen ist, sich ins System einzuschleusen, macht sich die Malware auf die Suche nach Passwörtern - allem voran dem Hauptpasswort des Schlüsselbunds. Auch Login-Informationen für große Dienste sind für Keydnap sehr interessant.
Herausfinden, ob man von Keydnap betroffen istKeydnap legt einige Dateien im System an, die als eindeutiger Hinweis auf eine Infektionen dienen. Wer die fraglichen Dateien vorfindet, gehört daher zu den unglücklichen Nutzern, die just im zweitätigen Zeitfenster der manipulierten Transmission-Version auf den Downloadbutton klickten und das Programm installierten. Es handelt sich dabei um folgende Dateien, nach denen Ausschau gehalten werden sollte:
- /Applications/Transmission.app/Contents/Resources/License.rtf
- /Volumes/Transmission/Transmission.app/Contents/Resources/License.rtf
- $HOME/Library/Application Support/com.apple.iCloud.sync.daemon/icloudsyncd
- $HOME/Library/Application Support/com.apple.iCloud.sync.daemon/process.id
- $HOME/Library/LaunchAgents/com.apple.iCloud.sync.daemon.plist
- /Library/Application Support/com.apple.iCloud.sync.daemon/
- $HOME/Library/LaunchAgents/com.geticloud.icloud.photo.plist
Zunächst war gar nicht klar, was der Auslöser der plötzlich ansteigenden Malware-Fälle war. ESET Research hatte zunächst vermutet, dass der Angriff ausschließlich Sicherheitsspezialisten galt. Dann stellte sich jedoch bald heraus, was tatsächlich die Malware in Umlauf brachte.