转载

Mac用户请注意：首款勒索软件已经现身

周日 Palo Alto Networks 的安全研究人员发现了一款隐藏于Transmission安装包中名为“KeRanger”的勒索软件。

KeRanger是第一款被发现针对OS系统的勒索软件，它一旦运行，便会对用户设备进行加密，不仅仅用户正常使用，还对用户发出支付1个比特币（大约2600人民币）的勒索要求。

技术分析

据Palo Alto研究者介绍，KeRanger感染的两个Transmission安装包都有苹果公司的合法签名，开发者证书ID是“POLISAN BOYA SANAYI VE TICARET ANONIM SIRKETI (Z7276PX673)”，与Transmission之前版本安装包的签名有所不同。代码签名信息显示，这些安装包是3月4日上午生成的。

Mac用户请注意：首款勒索软件已经现身

受感染的安装包在Transmission.app/Contents/Resources 目录之下带有一个名为General.rtf的文件。它使用了一个看起来正常的RTF文件图标，实际上却是一个带有UPX 3.91的Mach-O格式可执行文件。

Palo Alto两位研究者Claud Xiao和Jin Chen在文章中称：

“当用户点击这些受感染的应用程序时，在任何用户界面出现之前可执行的Transmission.app/Content/MacOS/Transmission会将General.rtf文件复制到~/Library/kernel_service，并执行这一“kernel_service”。”

Mac用户请注意：首款勒索软件已经现身

在General.rtf执行加密任务前，KeRanger会在~/Library目录之下创建三个文件，分别是“.kernel_pid”、”.kernel_time”和“.kernel_complete”，并在”.kernel_time”记下当前时间。然后，勒索软件会沉睡三天。值得注意的是，在KeRanger的另一样本当中，研究者同样发现了恶意软件会休眠三天，但是它仍每五分钟向C2服务器提出请求。

Mac用户请注意：首款勒索软件已经现身

恶意软件会选择性加密系统上特定类型的文档以及数据文件，在加密程序完成之后，KeRanger要求受害者支付1个比特币到特定地址才能赎回他们的文件。此外，KeRanger似乎还在积极开发过程中，而恶意软件似乎试图加密Time Machine，防止受害者恢复他们的备份数据。

Mac用户请注意：首款勒索软件已经现身

FreeBuf 百科

Transmission 是一种BitTorrent客户端，特点是一个跨平台的后端和其上的简洁的用户界面。

勒索软件 是黑客用来劫持用户资产或资源并以此为条件向用户勒索钱财的一种恶意软件。勒索软件通常会将用户系统上文档、邮件、数据库、源代码、图片、压缩文件等多种文件进行某种形式的加密操作，使之不可用，或者通过修改系统配置文件、干扰用户正常使用系统的方法使系统的可用性降低，然后通过弹出窗口、对话框或生成文本文件等的方式向用户发出勒索通知，要求用户向指定帐户汇款来获得解密文件的密码或者获得恢复系统正常运行的方法。

你的Mac是否被感染了？

Mac用户请注意：首款勒索软件已经现身

如果你从开源项目网站下载了Transmission 2.90版本，你可能已经被感染了。如果是软件自身升级，应该就没事。但是多次检查一下还是不会错的。

根据Palo Alto研究者称，可以通过下列事项进行检测：

·寻找一个叫做“ Applications/Transmission.app/Contents/Resources/General.rtf ”或者“ /Volumes/Transmission/Transmission.app/Contents/Resources/General.rtf ”的文件。如果你发现其存在，直接删除你的Transmission应用。

·使用Activity Monitor检查“kernel_service”进程是否在运行。如果是，选择应用程序中的“打开文件及端口”，搜索一个名字类似“ Users/<username>/Library/kernel_service ”的文件，然后终止进程。