Transmission ancora vettore di infezione per macOS

Ancora una volta il client BitTorrent Transmission è diventato un vettore di distribuzione di malware tramite un installer alterato, con le versioni del software scaricate tra il 28 e il 29 agosto che sono probabilmente compromesse con il package "Keydnap". Già a marzo Transmission era stato usato come vettore di infezione per KeRanger, un ransomware che cripta il contenuto del disco e chiede un riscatto di 1 bitcoin.

Keydnap è un malware già noto nell'ambiente macOS, dopo che la società di sicurezza Eset lo aveva individuato all'inizio del mese di luglio. La precedente versione di Keydnap richiedeva agli utenti di cliccare su un file opportunamente edulcorato, che apriva l'installer nel Terminale. Il malware quindi rimandava l'installazione fino al lancio di una sccessiva app, mostrando a quel punto una finestra di dialogo con una richiesta di autenticazione.

Quando viene accorpato a Transmission, il malwre non ha bisogno di una seconda app per essere eseguito e non richiede ulteriore autenticazione da parte dell'utente oltre a quella necessaria per installare Transmission. Dal momento che Transmission è stata regolarmente firmata, Gatekeeper permette l'esecuzione del malware senza alcuna segnalazione. La firma inclusa nell'installer compromesso non appartiene però ai legittmi sviluppatori di Transmission. Apple è già stata informata e non è ancora dato sapere se al momento in cui scriviamo abbia revocato la firma.

Dopo aver ottenuto gli accessi di root, Keydnap può essere usato dai proprietari del server command and control per recuperare le chiavi di cifratura del portachiavi dell'utente e caricare quindi tutte le password in esso salvate, che possono includere le password di sistema e tutte le credenziali di accesso ai servizi web usati dall'utente. Gli sviluppatori di Transmission hanno immediatamente ritirato la versione compromessa dopo essere venuti a conoscenza del problema.

Nel caso in cui si dovesse temere di essere stati bersaglio di Keydnap, è consigliabile utilizzare strumenti di monitoraggio del traffico internet, come Little Snitch, che permettono di bloccare traffico indesiderato verso destinazioni ignote, e applicazioni come BlockBlock che monitorano costantemente l'eventuale presenza sul sistema di componenti persistenti che sono di norma funzionali ed indispensabili per l'installazione e il funzionamento dei malware.