Nuovo ransomware per macOS: come verificare se il proprio Mac è stato infettato

Patcher è il nome di un nuovo malware ransomware, cioè che impedisce l’accesso ad alcuni file dell’hard disk del computer della vittima criptandoli, e poi chiedendo un riscatto per “liberarli” (in questo caso l’equivalente di $500 in BitCoin).

Diffusione e metodo di contagio

Patcher è camuffato da utility per craccare Adobe Premiere CC 2017 o Office 2016 ed è presente su un paio di siti BitTorrent.

Una volta effettuato il download, e lanciata l’utility (non appare alcun messaggio di avviso GateKeeper né viene chiesto di digitare la password amministratore), compare una finestra di dialogo trasparente con l’avviso che la procedura è suddivisa in tre fasi e durerà circa 10 minuti.

In realtà, è uno stratagemma per dare il tempo al malware di cifrare i dati che si trovano nella cartella utente (Inizio). Infatti, dopo poco si passa dallo step 1 al 2, ma non al 3°. Sulla scrivania appaiono file con nomi come “readme.txt” e “DECRYPT! .txt”. Aprendone uno, apparirà il messaggio con la richiesta di riscatto per decriptare i documenti.

Chiudendo l’applicazione si interrompe il processo di cifratura, ma quelli già cifrati rimarranno inaccessibili. Il processo di cifratura è molto lento, occorrono 30 secondi per crittografare un video da 250MB, ad esempio.

Tuttavia, l’autore del malware ha commesso un errore nell’impostare il comando per cancellare lo spazio libero sull’hard disk, che avrebbe assicurato l’effettiva eliminazione dei documenti originali, che quindi sono facilmente recuperabili con un software come Data Rescue.

Inoltre, gli esperti di sicurezza hanno anche scoperto che il pirata informatico non è in grado di inviare la chiave per decifrare i file criptati per un problema con il server utilizzato. Quindi, anche pagando, i documenti rimarranno cifrati.

Bisogna preoccuparsi?

Al momento, il file BitTorrent che permette di scaricare il ransomware è presente su un paio di siti BitTorrent, ma non è possibile effettuare il download perché non ci sono seed attivi. Naturalmente, in futuro Patcher potrebbe essere mascherato in altro modo, quindi vale il consiglio di sempre, e cioè di scaricare software solo legali e da siti sicuri.

Come sapere se il Mac è infetto

Se sulla scrivania del vostro Mac compaiono file con nomi come “readme.txt”, “README_.txt”, “README – !. txt,” “ README !!. txt “,” DECRYPT! .txt “,” HOW_TO_DECRYPT _ !. txt “e” DECRYPT _ !. txt “, allora il vostro computer è stato vittima di Patcher.

Un altro controllo da fare è verificare se all’interno della cartella Home o Inizio (è quella con il vostro nome utente e con l’icona di una casetta) ci sono file.crypt.

Come proteggersi

In caso di infezione, è sufficiente spostare Patcher nel Cestino, mentre per ripristinare i dati cifrati è possibile utilizzare il backup di Time Machine, se non era collegato al computer al momento di lanciare Patcher. Quindi, è fondamentale avere una buona strategia di backup.