Quando si parla di malware si tende a pensare automaticamente al mondo Windows, ma in realtà gli altri sistemi operativi non sono completamente immuni.

L'ultima minaccia per gli utenti di Apple è interessante perché, nell'infettare i Mac, adotta una tecnica particolare che si può definire fileless, ossia senza file.

L'esperti di sicurezza Patrick Wardle, che è stato tra i primi a individuare il pericolo, sospetta che dietro la creazione di questo malware ci sia il governo nordcoreano, che starebbe sperimentando nuovi sistemi per evitare l'individuazione delle proprie armi informatiche.

Nel caso di un malware fileless a venire infettata dal codice pericoloso è la memoria del bersaglio, senza che nulla venga scritto sul disco; il software malevolo agisce dalla RAM, gli antivirus che effettuano la scansione del disco non trovano nulla, perché non c'è nulla da trovare, nessun file da indicare come sospetto o da analizzare.

Nel caso specifico, il comportamento non è completamente fileless. Nella prima fase, infatti, il malware si presenta come un'app per generare Bitcoin, dal nome UnionCryptoTrader.dmg.

Quando la si esegue viene generato un file binario che ottiene i permessi di root (ossia dell'utente amministratore della macchina, in grado di fare ciò che vuole) e riappare anche dopo il riavvio.

A questo punto, comincia la parte veramente "senza file" dell'infezione. Il Mac colpito contatta un server per trovarvi il resto del codice del malware, lo scarica e, sfruttando le interfacce di programmazione di macOS, crea un file immagine che viene caricato in memoria ed eseguito.

Wardle non è ancora riuscito a scoprire esattamente quale sia lo scopo di questa seconda fase dell'infezione anche se ipotizza, basandosi sulle passate azioni degli hacker nordcoreani, che l'obiettivo sia sottrarre criptovalute.

Al momento in cui scriviamo, secondo le statistiche di VirusTotal sono 17 (su 57) i software di sicurezza che riconoscono questa minaccia.

Sebbene a sentirsi in pericolo debbano essere i possessori di criptovalute, l'esistenza stessa di un malware di questo tipo suggerisce che nessun sistema operativo possa davvero fare a meno di un software di rilevamento dei programmi pericolosi: un attacco in certi ambienti è più improbabile che in altri, ma nessuno può dirsi davvero immune.