(PM) 60327 Frankfurt, 30.03.2016 - Der Verschlüsselungstrojaner Mac.Trojan.KeRanger.2 wurde zum ersten Mal im DMG-Update eines beliebten Torrent-Trackers für OS X entdeckt. Das Programm verfügt über ein gültiges Zertifikat eines OS-X-Entwicklers und konnte deshalb das Schutzsystem von Apple umgehen.

Nach der Installation auf dem angegriffenen Rechner wartet Mac.Trojan.KeRanger.2 drei Tage ab, indem er im Schlafmodus liegt. Danach baut der Encoder eine Verbindung zu seinem Verwaltungsserver im TOR-Netzwerk auf. Anschließend beginnt die Verschlüsselung von Benutzerdateien durch Mac.Trojan.KeRanger.2. Der Schädling verschlüsselt alle Dateien, zu denen er den Zugang mit Privilegien eines einfachen Benutzers als auch Root-Privilegien hat. Danach versucht der Schädling Inhalte auf /Volumes – Dateien auf Festplatten – zu verschlüsseln. In diesem Fall werden Dateien gemäß der Liste verschlüsselt. Insgesamt haben Cyber-Kriminelle eine Liste mit 313 verschiedenen Dateitypen erstellt (u.a. Text- und Grafik-Dateien). Den Schlüssel für die Kodierung von Dateien bekommt der Schädling von seinem Verwaltungsserver. Kennzeichen des Schädlings ist die ".encrypted"-Erweiterung sowie die Datei mit dem Namen "README_FOR_DECRYPT.txt".

Die Sicherheitsspezialisten von Doctor Web haben ein Entschlüsselungstool entwickelt, mit dem die durch den Schädling verschlüsselten Dateien wieder entschlüsselt werden können.

Um den Service zur Dekodierung gegen Mac.Trojan.KeRanger.2 benutzen zu können, sollten Nutzer folgende Schritte befolgen:

• Kontaktaufnahme mit der Polizei;
• Beliebige Anpassungen der Dateien vermeiden;
• Keine Dateien auf dem PC löschen;
• Versuche, die Dateien selbständig wiederherzustellen, vermeiden;
• Kontaktaufnahme mit dem technischen Support von Doctor Web (gratis für Benutzer kostenpflichtiger Dr.Web Software);
• Verschlüsselte Datei beifügen;
• Warten auf die Rückmeldung des technischen Supports. Dies kann wegen einer großen Anzahl von Support-Anfragen einige Zeit in Anspruch nehmen.

Mehr zum Trojaner: vms.drweb-av.de/virus/?i=7993696