FileCoder macOS zsarolóvírus

A kiberbűnözők folyamatosan új módszereket fejlesztenek ki a gyanútlan felhasználók kihasználására, és a zsarolóvírusok továbbra is az egyik legkárosabb fenyegetés. A macOS-felhasználók körében a FileCoder zsarolóvírus, más néven Patcher vagy Findzip, egy hírhedt példa. Aktiválás után titkosítja a személyes fájlokat, és fizetést követel a felszabadításukért. Sajnos a FileCoder gyenge kódolása azt jelenti, hogy még a fizetés sem állítja vissza az adatokat, ezért elengedhetetlenek az erős megelőzési stratégiák.

Mi az a FileCoder zsarolóvírus?

A FileCoder egy fájltitkosító zsarolóvírus, amely a macOS rendszereket veszi célba. Gyakran népszerű szoftverek, például az Adobe Premiere Pro CC és a Microsoft Office 2016 javítóeszközének álcázza magát. A kutatók először a BitTorrent platformokon keresztül figyelték meg a terjedését, így a kalózszoftvereket kereső felhasználók voltak az elsődleges áldozatai.

A kártevő elsősorban az OS X 10.11.x (El Capitan) és a macOS 10.12.x rendszereket futtató rendszereket érinti, bár régebbi és újabb verziók is érintettek lehetnek. A futtatható fájlját az Apple nem írta alá, ami intő jel lehet az óvatos felhasználók számára.

Hogyan fertőzi meg a FileCoder az eszközöket?

A fertőzési folyamat akkor kezdődik, amikor a felhasználók letöltenek egy látszólagos „javítót” vagy „crackert” prémium szoftverekhez torrent oldalakról. Elindítás után a hamis javítóprogram egy három lépésből álló folyamatablakot jelenít meg, de ez csupán figyelemelterelés. A titkosítási folyamat azonnal megkezdődik, miután a felhasználó a „START” gombra kattint. Mire a felület a 2/3. lépést jeleníti meg, a kár már megtörtént.

A FileCoder mindent titkosít a Felhasználók mappában, érintetlenül hagyva a rendszer- és alkalmazásfájlokat. A végrehajtáskor csatlakoztatott külső meghajtókat és hálózati köteteket is célba veszi. A kártevő egy 25 karakteres véletlenszerű titkosító kulcsot generál helyben, és az rm parancs segítségével törli az eredeti fájlokat. Még a diskutil segítségével is megpróbál szabad területet törölni, de a helytelen fájlútvonal miatt nem sikerül, ami egy hibát jelent a részleges adat-helyreállításra.

Mi történik a titkosítás után?

A titkosítás befejezése után a felhasználó asztala megtelik váltságdíjat követelő üzenetekkel, például a README.txt és a DECRYPT!.txt-vel. Az áldozatokat arra utasítják, hogy fizessenek 280 dollárt Bitcoinban a fájljaik 24 órán belüli feloldásáért, vagy 500 dollárt a gyorsabb visszafejtésért. Ez a követelés azonban megtévesztő, mivel a FileCoder nem képes kommunikálni egy parancs- és vezérlőszerverrel, vagy visszafejtési kulcsot küldeni. Más szóval, a váltságdíj kifizetése nem állítja vissza a fájlokhoz való hozzáférést.

Ezenkívül a zsarolóvírus ismeretlen okokból a titkosított fájlok módosítási dátumát 2010. február 13-ra módosítja. A rendszer újraindításakor egy „Bejelentkezés az iCloudba” képernyő jelenik meg, mivel a felhasználói beállítások az adatokkal együtt titkosítva vannak.

Gyengeségek és helyreállítási lehetőségek

A romboló potenciálja ellenére a FileCoder számos hibát tartalmaz:

• Lassan titkosítja a fájlokat, egy 250 MB-os videofájl titkosítása körülbelül 30 másodpercet vesz igénybe. A gyors műveletek leállíthatják a titkosítást.
• Az alkalmazás félbeszakítás utáni bezárása leállítja a további fájltitkosítást.
• A helytelen diskutil elérési út megakadályozza a teljes biztonságos törlést, így részleges helyreállításra van lehetőség olyan eszközökkel, mint a Data Rescue.

A kutatók kifejlesztettek egy módszert a FileCoderrel titkosított fájlok visszafejtésére is. Ez a folyamat fárasztó és technikai tudást igényel, de végső megoldást kínál az áldozatok számára.

A fájlok helyreállításának megkísérléséhez az áldozatoknak számos eszközre van szükségük: egy második működő számítógépre, legalább az egyik titkosított fájl titkosítatlan másolatára, egy megbízható szövegszerkesztőre, az Xcode parancssori eszközökre és a pkcrack segédprogramra, amely ismert nyílt szöveges támadást hajt végre a ZIP fájlok titkosítása ellen.

Azonban nem mindig kötelező egy fájl eredeti, titkosítatlan verziójával rendelkezni. Ha ilyen fájl nem áll rendelkezésre, a felhasználók a zsarolóvírust önmaga ellen használhatják fel. Azokban az esetekben, amikor a FileCoder alkalmazást a felhasználói mappából, például a Letöltések könyvtárból futtatták, a rosszindulatú program valószínűleg titkosította a saját futtatható fájlját. Az áldozatok letölthetik a fertőzött alkalmazás friss példányát a visszafejtési folyamat elősegítése érdekében.

A kutatók óvatosságra intenek, mivel ez a módszer lassú és munkaigényes, mivel a tömeges visszafejtés nem lehetséges. Mindazonáltal azok számára, akik eltökélték, hogy visszanyerik adataikhoz való hozzáférést, ez a megközelítés egy életképes végső megoldást jelent.

Bevált biztonsági gyakorlatok a fertőzések megelőzésére

A FileCoderhez hasonló zsarolóvírus-fertőzések megelőzése sokkal könnyebb, mint a helyreállítás. Kövesse az alábbi biztonsági intézkedéseket a rendszer védelme érdekében:

1. Biztonságos számítástechnikai szokások

• Kerüld a szoftverek vagy javítások letöltését torrent oldalakról vagy más nem ellenőrzött forrásokból.
• Mindig ellenőrizd az alkalmazások aláírásait, és csak megbízható fejlesztőktől vagy a hivatalos Mac App Store-ból származó alkalmazásokat telepíts.
• Maradjon tájékozott a legújabb fenyegetésekről és biztonsági tanácsokról.

2. Erős rendszervédelem

• Használjon megbízható kártevőirtó megoldást, és tartsa naprakészen.

• Rendszeresen készítsen biztonsági másolatot a fontos fájlokról a Time Machine vagy egy felhőalapú biztonsági mentési szolgáltatás segítségével. A biztonsági mentéseket offline vagy biztonságos helyen tárolja, amely nincs folyamatosan csatlakoztatva a rendszeréhez.

• Tartsa naprakészen a macOS-t és az összes telepített szoftvert a legújabb biztonsági javításokkal.

Ezen gyakorlatok kombinálásával jelentősen csökkentheti a zsarolóvírus-fenyegetéseknek való kitettségét, és biztosíthatja, hogy még a legrosszabb esetben is adatai biztonságban maradjanak és helyreállíthatók legyenek.