Wer auf seinem Mac ausschließlich Software aus dem Mac App Store nutzt, ist gemeinhin auf der sicheren Seite, denn Malware übersteht Apples Prüfung in aller Regel nicht. Allerdings installieren viele Mac-Nutzer auf ihrem Rechner auch Anwendungen, welche es nicht in Apples Software-Laden gibt. Die Gefahr, sich dabei Schadsoftware einzufangen, ist zwar gering, gänzlich ausgeschlossen ist das aber nicht, wie sich in der Vergangenheit immer wieder einmal zeigte. Seit einigen Tagen treibt nun ein neuer Verschlüsselungstrojaner sein Unwesen, der einige weitere böse Überraschungen bereithält.


Trojaner verbreitet sich über Raubkopien
Entdeckt wurde die Malware vor wenigen Tagen vom Sicherheitsforscher Dinesh Devadoss, der für das Unternehmen K7 Lab tätig ist. Er gab dem Verschlüsselungstrojaner den Namen "EvilQuest". Andere Experten wie etwa Patrick Wardle, Thomas Reed und Phil Stokes bestätigten einem Bericht von ZDNET zufolge die Existenz der Schadsoftware, welche bereits aktiv eingesetzt wird. Verbreitet wird sie zurzeit vornehmlich über entsprechend manipulierte Raubkopien von bekannten Apps. Devadoss entdeckte "EvilQuest" unter anderem in illegalen Versionen des beliebten Tools "Little Snitch" und der DJ-Software "Mixed". Ebenfalls enthalten war die Malware in einem angeblichen Paket namens "Google Software Update". Aktuell wird der Trojaner vorwiegend über Torrents verteilt, es ist allerdings damit zu rechnen, dass demnächst auch andere Verbreitungswege und zusätzliche raubkopierte Apps zum Einsatz kommen.


Mac lässt sich über das Internet kontrollieren
Laut der detaillierten Analyse von Patrick Wardle ist "EvilQuest" äußerst gefährlich. Der Trojaner beginnt unmittelbar nach der Installation damit, sämtliche Dateien zu verschlüsseln, welche er erreichen kann. Anschließend installiert die Malware automatisch einen Keylogger, der alle Tastenanschläge des Mac-Nutzers aufzeichnet. Darüber hinaus öffnet die Schadsoftware den Rechner zum Internet hin und erlaubt so dem Angreifer, beliebige Befehle auf dem System auszuführen. Zweck dieser Aktionen ist das Abgreifen von Dateien, welche im Zusammenhang mit Kryptowährungen stehen könnten, etwa "wallet.pdf", "wallet.png" oder Files mit der Endung ".p12".

Angreifer verlangen 50 US-Dollar
Für die Entschlüsselung der Dateien verlangen die Urheber des Trojaners 50 US-Dollar, diese sollen in Form von Bitcoins entrichtet werden. Die Zahlung muss einer Mitteilung des Trojaners zufolge innerhalb von 72 Stunden erfolgen, die Dechiffrierung der Files beginnt dann angeblich binnen zwei Stunden. Da viele Angreifer derartige Versprechen nicht einhalten, sollte man den geforderten Betrag jedoch auf keinen Fall zahlen. Betroffenen bleibt lediglich die Möglichkeit, ihr gesamtes System neu aufzusetzen und aus einem sauberen Backup wieder herzustellen.