Mac infettati da malware per colpa di Transmission

Sono stati i ricercatori di ESET a lanciare l'allarme: l'ultima build di Transmission per OS X, il popolare clienti BitTorrent, contiene un malware.

Dalle indagini è emerso che qualcuno deve aver violato i server di Transmission, caricandovi poi una versione infetta: è all'incirca quanto successo a Linux Mint nei primi mesi dell'anno.

«Sembra che il 28 agosto 2016 o in una data vicina ci sia stato un accesso non autorizzato al server del nostro sito» ha ammesso il team di Transmission.

Spunti di approfondimento:

Spaventati per il malware che ricatta gli utenti Mac?

Il ransomware per OS X arriva con Transmission

Linux Mint sotto attacco malware

I client torrent più diffusi

«La versione ufficiale per Mac di Transmission 2.92 è stata sostituita con una versione non autorizzata che conteneva il malware OSX/Keydnap. Il file infetto è stato disponibile per il download per un periodo di tempo compreso tra poche ore e meno di un giorno» ha inoltre specificato.

OSX/Keydnap si chiama così perché la sua prima azione è la sottrazione del contenuto di Keychain (il gestore di password di OS X), a cui segue l'installazione di una backdoor sul Mac.

Chiunque abbia scaricato Transmission tra il 28 e il 29 agosto dovrebbe eseguire un controllo approfondito del sistema e in particolare verificare la presenza di alcuni file e directory.

Nel dettaglio, i file e le directory che indicano la presenza di un'infezione da OSX/Keydnap sono:

- /Applications/Transmission.app/Contents/Resources/License.rtf
- /Volumes/Transmission/Transmission.app/Contents/Resources/License.rtf
- $HOME/Library/Application Support/com.apple.iCloud.sync.daemon/
icloudsyncd
- $HOME/Library/Application Support/com.apple.iCloud.sync.daemon/
process.id
- $HOME/Library/LaunchAgents/com.apple.iCloud.sync.daemon.plist
- /Library/Application Support/com.apple.iCloud.sync.daemon/
- $HOME/Library/LaunchAgents/com.geticloud.icloud.photo.plist

Transmission ha anche pubblicato una guida dettagliata su come intervenire nel caso il proprio sistema sia stato infettato, e ha spostato tutti i file dai propri server a GitHub.