Pela segunda vez no ano, pesquisadores de segurança encontraram um malware no popular cliente de BitTorrent para Mac chamado Transmission. A descoberta veio apenas cinco meses depois que o primeiro ransomware funcional para o sistema OSX foi encontrado.
Os especialistas da empresa ESET encontraram o mais novo bug, chamado de OSX/Keynap. Aparentemente o malware estava sendo espalhado através de uma versão recompilada do Transmission que foi temporariamente distribuida através do próprio site da desenvolvedora do cliente bitTorrent.
Quanto ao malware, o OSX/Keynap funciona de forma similar a última infecção de malware sofrida pelo Transmission, o KeRanger, já que também adiciona um bloco de código malicioso a função principal do app. A diferença entretanto é o seu comportamento.
Ao invés de tentar pedir um resgate do usuários, o OSX/Kinap tenta roubar as senhas armazenadas pelo OS X.
Infelizmente a Apple não viu a infecção a tempo já que a versão distribuida foi assinada com o certificado de segurança legítimo do Transmission e portanto passou pelo Gatekeeper do OS X sem problemas. Os pesquisadores da ESET desde então notificaram o time de segurança do Transmission sobre a infecção e em questão de minutos o arquivo foi removido do servidor.
Claro que agora o estrago já foi feito, mas a ESET acredita que isto pode estar limtiado a quem baixou o app em 29 de agosto. Para garantir que você não esteja rodando o cliente infectado, verifique no seu sistema se os seguintes diretórios existem:
- /Applications/Transmission.app/Contents/Resources/License.rtf
- /Volumes/Transmission/Transmission.app/Contents/Resources/License.rtf
- $HOME/Library/Application Support/com.apple.iCloud.sync.daemon/icloudsyncd
- $HOME/Library/Application Support/com.apple.iCloud.sync.daemon/process.id
- $HOME/Library/LaunchAgents/com.apple.iCloud.sync.daemon.plist
- /Library/Application Support/com.apple.iCloud.sync.daemon/
- $HOME/Library/LaunchAgents/com.geticloud.icloud.photo.plist
