Categories: SicherheitVirus

KeRanger: Ransomware befällt OS X

Mac-Nutzer, die kürzlich den BitTorrent-Client Transmission heruntergeladen und installiert haben, haben ihr System möglicherweise mit der Ransomware KeRanger infiziert. Darauf weist der Sicherheitsanbieter Palo Alto Networks hin. Demnach ist es Hackern offenbar gelungen, die auf der Website des Transmission-Projekts angebotenen Installationsdateien der Version 2.90 zu manipulieren.

„Die KeRanger-Anwendung war mit einem gültigen Mac-App-Entwickler-Zertifikat signiert“, heißt es in einem Blogeintrag von Palo Alto Networks. „Deswegen war sie in der Lage, Apples Gatekeeper-Schutz zu umgehen. Installiert ein Nutzer die infizierte App, wird eine eingebettete Datei ausgeführt. KeRanger wartet danach drei Tage, bis es sich über das Tor-Netzwerk mit einem Befehlsserver verbindet. Danach verschlüsselt die Malware bestimmte Arten von Dokumenten und Datendateien.“

Transmission warnt auf seiner Website vor dem mit der Ransomware KeRanger verseuchten Installer (Screenshot: ZDNet.de).

Das Zertifikat entspricht jedoch nicht dem, mit dem frühere Versionen des BitTorrent-Clients ausgeliefert wurden. Es sei am 4. März auf die Developer-ID „Polisan Boya Sanayi Ve Ticaret Anonim Sirketi“, ausgestellt worden, die offenbar einem türkischen Farbenhersteller gehört oder aber in dessen Namen beantragt wurde.

KeRanger verlange anschließend ein Lösegeld von einem Bitcoin (rund 400 Dollar), heißt es weiter in dem Blogeintrag. Die Malware sei damit die erste voll funktionsfähige Erpressersoftware für OS X.

Apple hat inzwischen das Entwicklerzertifikat zurückgezogen. Zudem aktualisierte es seinen Malware-Schutz XProtect, der nun KeRanger erkennen und entfernen kann. Das Transmission-Projekt weist auf seiner Website ebenfalls auf das Problem hin. Dort finden Betroffene die neue Version 2.92, die nicht nur frei von Schadsoftware ist, sondern auch in der Lage sein soll, KeRanger vollständig zu löschen.

Whitepaper

Studie zu Filesharing im Unternehmen: Kollaboration im sicheren und skalierbaren Umfeld

Im Rahmen der von techconsult im Auftrag von ownCloud und IBM durchgeführten Studie wurde das Filesharing in deutschen Unternehmen ab 500 Mitarbeitern im Kontext organisatorischer, technischer und sicherheitsrelevanter Aspekte untersucht, um gegenwärtige Zustände, Bedürfnisse und Optimierungspotentiale aufzuzeigen. Jetzt herunterladen!

Die schädliche Transmission-Version 2.90 wurde ab Freitagabend über einen Zeitraum von etwa 32 Stunden über die Website des Anbieters verbreitet. Betroffene Nutzer sollten prüfen, ob auf ihren Systemen in den Ordnern „Applications/Transmission.app/Contents/Resources“ oder „Volumes/Transmission/Transmission.app/Contents/Resources die Datei „General.rtf“ existiert. Paolo Alto beschreibt in seinem Blogeintrag auch, wie der zu KeRanger gehörende Systemprozess gestoppt und die Ransomware manuell gelöscht werden kann.

Im Februar war es Hackern gelungen, über die Website der Linux-Distribution Mint ISO-Dateien zu verteilen, die eine Backdoor enthielten. Betroffene schlossen sich unfreiwillig einem Botnet mit einigen Hundert infizierten Linux-Rechnern an. Als Einfallstor diente dem Hacker eine veraltete WordPress-Installation. Wie der manipulierte Installer auf die Website des Transmission-Projekts gelangte, ist indes nicht bekannt.

Tipp: Wie gut kennen Sie Apple? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Black Friday: Vorsicht vor schädlichen QR-Codes

Bösartige QR-Codes, die per E-Mail versendet werden, eignen sich sehr gut, um Spam-Filter zu umgehen.

2 Tagen ago

Black Friday: Zahl der ominösen Shopping-Websites steigt

Unsichere Websites und Phishing-Mails in Verbindung mit Black Friday können kauffreudigen Konsumenten zum Verhängnis werden.

2 Tagen ago

SmokeBuster bekämpft SmokeLoader

Malware SmokeLoader wird weiterhin von Bedrohungsakteuren genutzt, um Payloads über neue C2-Infrastrukturen zu verbreiten.

3 Tagen ago

Taugen Kryptowährungen als Unterstützer der Energiewende?

Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.

3 Tagen ago

Supercomputer-Ranking: El Capitan überholt Frontier und Aurora

Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…

4 Tagen ago

Ionos führt neue AMD-Prozessoren ein

Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…

4 Tagen ago