Achtung: BitTorrent-Client "Transmission" mit Malware verseucht

[Martin Wendel]

Für den beliebten quelloffenen BitTorrent-Client "Transmission" ist in der vergangenen Woche ein Update auf Version 2.90 erschienen. Wie nun bekannt wurde, scheint der Download von Angreifern mit Malware verseucht worden zu sein. Es handelt sich um die erste voll funktionsfähige "Ransomware", oder auch Erpressungstrojaner, unter OS X. Die Malware namens "KeRanger" verschlüsselt die Festplatte und gibt die Daten, so zumindest die Behauptung, nur nach Zahlung eines Bitcoins (rund 370 Euro) wieder frei.

Der Trojaner schlummert den Berichten nach für drei Tage im Hintergrund, bevor er aktiv wird und die Festplatte verschlüsselt. Die Experten von Palo Alto Networks berichten, dass sich die Malware offenbar noch in aktiver Entwicklung befindet und sie sogar versucht, Time-Machine-Backups zu verschlüsseln. Betroffenen Nutzern wäre damit sogar das Wiederherstellen ihrer Daten unmöglich. Des weiteren wird berichtet, dass KeRanger mit einem gültigen Developer-Zertifikat signiert wurde und daher selbst die höchsten Gatekeeper-Einstellungen das Programm nicht abhalten konnten.

Bin ich betroffen?

Apple wurde bereits vor dem Wochenende informiert und hat Schritte in die Wege geleitet, um eine weitere Verbreitung der Malware zu verhindern. Das Developer-Zertifikat wurde aufgehoben und der XProtect-Malwareschutz aktualisiert. Nutzer, die am 4. oder 5. März von der offiziellen Webseite die Version 2.90 von Transmission heruntergeladen haben, sind womöglich jedoch bereits von der Malware betroffen. Palo Alto Networks empfiehlt den Transmission-Nutzern folgende drei Schritte, um zu überprüfen ob sich die Malware eingenistet hat:

1. Mit Rechtsklick auf die Transmission.app "Paketinhalte anzeigen" auswählen. Sollte sich im Pfad /Contents/Recources die Datei General.rtf befinden, sollte Transmission gelöscht werden. Die Entwickler bieten auf ihrer Webseite mittlerweile Version 2.91 an, aus der die Malware entfernt wurde.
2. Im Aktivitätsmonitor (unter den Dienstprogrammen zu finden) nach dem Prozess "kernel_service" suchen – unter diesem Namen tarnt sich KeRanger.
3. Außerdem sollten Nutzer in ihrer User-Library (Finder öffnen, in der Menüleiste auf "Gehe zu" klicken, Alt-Taste gedrückt halten und "Library" auswählen) überprüfen, ob dort die Dateien ".kernel_pid", ".kernel_time", ".kernel_complete" oder "kernel_service" vorhanden sind und diese löschen.

Betroffenen Nutzern ist es natürlich auch möglich, einfach ein Time-Machine-Backup vor der Installation von Transmission 2.90 wiederherzustellen.

Via 9to5Mac

zurück zum Magazin...

 

[maciboy]

So ein Mist
Heute Mittag noch behauptet, dass nur Windows von den aktuellen Verschlüsselungsviren betroffen ist und zack, ein paar Stunden später wird man direkt eines besseren belehrt…
Speziell diese Software nutze ich nicht, aber vermutlich werden auch wir Mac Nutzer in Zukunft deutlich mehr auf der Hut sein müssen

 

[uhansen]

Das ist ja fürchterlich. Zum Glück habe ich die Version ausgelassen. Bei mir ist das Programm noch auf Version 2.84. Das hätte ins Auge gehen können.

 

[z3ro]

Wenn du über die App aktualisiert hättest, wärst du nicht davon betroffen. Es betrifft nur die Benutzer, welche die Version 2.90 von der Webseite als DMG heruntergeladen haben. Zur Sicherheit empfehle ich trotzdem allen Benutzern von Transmission, die drei Schritte im Artikel kurz nachzuvollziehen.

 

[jack_pott]

Ist das App Sandboxing ausgehebelt worden?

Wenn du über die App aktualisiert hättest, wärst du nicht davon betroffen. Es betrifft nur die Benutzer, welche die Version 2.90 von der Webseite als DMG heruntergeladen haben. Zur Sicherheit empfehle ich trotzdem allen Benutzern von Transmission, die drei Schritte im Artikel kurz nachzuvollziehen.

Das ist mir nicht ganz klar… lädt der interne Updater denn nicht auch einfach vom Server?

 

[Leberkasbepi]

Die drei Tage Wartezeit der Malware ist aber ziemlich gemein. So kann man schwer feststellen, wovon man sich es geholt hat bzw. mehr Systeme infizieren. Ausser in diesem Fall.

 

[z3ro]

@jack_pott Das weiss ich leider auch nicht. Ich habe nur in diversen Foren und Reddit gelesen, dass nur Installationen betroffen sind, welche die Version 2.90 von der Webseite geladen haben.

 

[Balkenende]

Bittere Pille für viele Filesharer.

Man wird nicht alle über einen Kamm scheren können.

Aber für diejenigen, die BitTorrent zum Austausch von Dateien nutzen, die ihnen nicht gehören, eine teure Lehrstunde und Erfahrung live, wie es sich anfühlt, von anderen überlistet sowie an Eigentum und geistigen Rechten geschädigt zu werden.

 

[z3ro]

Das sind wohl zwei paar Schuhe.

 

[appleianer]

Leider nicht nur auf dem Mac. Freund von mir hatte diesen letzten Freitag auf einem iPad 4.
Safari war betroffen. Kein Zugang zum Internet mehr. Habe leider keine Information erhalten, auf welcher Seite er zuvor war. Definitiv aber nicht BitTorrent-Client "Transmission"

Konnte zum Glück das iPad 4 noch zurücksetzten.

Ich habe da so eine Vermutung, warum gerade jetzt bei Apple... schöne Grüße ans FBI

 

[Schönebecker-Apfelbaum]

Wer heute noch BitTorrent nutzt ist selber schuld. Entweder hagelt es Abmahnungen oder dein Rechner wird verseucht.

 

[GREYAchilles]

Ich habe da so eine Vermutung warum gerade jetzt bei Apple... schöne Grüße ans FBI

Sehr gewagte Aussage....

 

[z3ro]

Wer heute noch BitTorrent nutzt ist selber schuld. Entweder hagelt es Abmahnungen oder dein Rechner wird verseucht.

Erstens ist BitTorrent ein Netzwerk-Protokoll wie beispielsweise http auch. Zweitens hätte der Angriff genau so gut bei einer anderen Software, wie beispielsweise bei The Gimp passieren können.

 

[appleianer]

@GREYAchilles sehr gewagte Aussage....

war das Ganze ausspionieren vor Snowden doch auch. Glaubt wirklich jemand, dass diese Jungs sich von einem Tim Cook auf der Nase rumtanzen lassen?!

Er sollte vielleicht in nächster Zeit mal auf`s Cabrio verzichten

 

[Martin Wendel]

Leider nicht nur auf dem Mac. Freund von mir hatte diesen letzten Freitag auf einem iPad 4.
Safari war betroffen. Kein Zugang zum Internet mehr. Habe leider keine Information erhalten, auf welcher Seite er zuvor war.

Das klingt höchst unwahrscheinlich, da war wohl irgendwas anderes dafür verantwortlich.

 

[Schönebecker-Apfelbaum]

Erstens ist BitTorrent ein Netzwerk-Protokoll wie beispielsweise http auch. Zweitens hätte der Angriff genau so gut bei einer anderen Software, wie beispielsweise bei The Gimp passieren können.

Wer nutzt denn dieses "Protokoll" und vor allem wofür?

 

[simmac]

Bittere Pille für viele Filesharer.

Man wird nicht alle über einen Kamm scheren können.

Aber für diejenigen, die BitTorrent zum Austausch von Dateien nutzen, die ihnen nicht gehören, eine teure Lehrstunde und Erfahrung live, wie es sich anfühlt, von anderen überlistet sowie an Eigentum und geistigen Rechten geschädigt zu werden.

Wer heute noch BitTorrent nutzt ist selber schuld. Entweder hagelt es Abmahnungen oder dein Rechner wird verseucht.

Sorry, aber das ist kompletter bullshit. Erstens hat das Eine mit dem Anderen nichts zu tun. Und dass Torrents der Content-Industrie schaden ist auch sehr umstritten, aber das ist ein anderes Thema.
Viel wichtiger, nicht jeder Torrent illegales Filesharing. Ich ziehe meine Linux-Images fast immer über Torrent, genauso wie viele andere große Dateien, die offiziell und legal als Torrent zur Verfügung stehen. Torrent-User hier pauschal als Raubkopierer zu verurteilen und auch noch meinen, sie hätten das mehr oder weniger verdient ist schon ein starkes Stück.

Wer nutzt denn dieses "Protokoll" und vor allem wofür?

Schau dir als Beispiel mal BitTorrent Sync an.

 

[z3ro]

@Schönebecker-Apfelbaum http kann exakt für die gleichen Aktivitäten verwendet werden.

 

[Schönebecker-Apfelbaum]

Also ich nutze zum synchronisieren meiner Daten den Dienst von Synology. Funktioniert tadellos und bedarf keiner dritten Plattform.

 

[abzhibilt]

Also ich nutze zum synchronisieren meiner Daten den Dienst von Synology. Funktioniert tadellos und bedarf keiner dritten Plattform.

Hahaha
und Synology ist keine Plattform?

Bittorrent ist ein Protokoll, ein sehr gutes sogar, das vielfach Anwendung findet - auch außerhalb von Piraterie.