Mac Guard: attacco ad OS X, secondo round

Recentemente si sono diffusein rete le prima notizie sull’ esistenza di un MAC Defender, un virus per sistemi Mac OS X che però per installarsi richiede l’esplicito consenso dell’utente attraverso l’immissione della password di amministratore. Se il primo round non è stato da K.O., il secondo sarà ben più pericoloso: l’evoluzione del precedente virus porta il nome di Mac Guard e non richiede alcuna password.

Il tutto parte da una pagina web maligna: un JavaScript fa apparire un pop-up somigliante ad una finestra del Finder, che avvertirà l’utente della presenza di falsi malware. Tramite questo pop-up verrà scaricato automaticamente un archivio ZIP contenente un downloader che scarica a sua volta il file avSetup.pkg da un web server. Se Safari è autorizzato ad aprire i files sicuri, il file .pkg verrà aperto ed installato tramite una normale procedura guidata. In caso contrario esso rimarrà salvato su disco in attesa di essere aperto dall’utente.

La procedura non richiede alcuna password e al termine dei passaggi verrà installato un software chiamato avRunner, che si avvierà automaticamente. Nello stesso momento l’installer si cancella autonomamente dal disco, in modo da non lasciare alcuna traccia.

Ora entra in gioco il vero virus: avRunner scarica MacGuard tramite un indirizzo IP nascosto in un file immagine della cartella Resources. Il virus inizia a far apparire pop-up pornografici sullo schermo, assieme ad altri indicanti la soluzione: un antivirus premium da acquistare tramite carta di credito, così da rubarne i dati.

Anche se la procedura sembra alquanto macchinosa, l’evoluzione di questo virus sembra essere molto rapida e già il primo “round” aveva dato i suoi frutti.

Quasi la totalità di utenti OS X non ammettono o non sanno dell’esistenza di virus per il proprio sistema operativo, scegliendolo spesso per la sua “immunità” da ogni eventuale malware. Le numerose manifestazioni hacker hanno già dimostrato più volte che si tratta di una semplice credenza popolare e non di una effettiva realtà.

Un altro fattore degno di nota è il servizio post-vendita, da molti considerato perfetto. Apple ha obbligato l’assitenza a non esporsi sul tema, non negando né confermando l’eventuale installazione sul computer di questo virus, ma comunicando semplicemente che l’azienda non offre supporto per la rimozione di malware per via telematica o tramite Apple Store. Ogni tentativo di rimozione o disinstallazione di qualsivoglia tipo di software è stato infatti categoricamente impedito. L’utente rimane quindi abbandonato al suo destino e reindirizzato al Mac App Store per la ricerca autonoma di un software antivirus.

Microsoft d’altro canto offre un supporto telefonico gratuito e aggiornamenti periodici per ogni suo software e per ogni suo cliente.

“Assistenza” post-vendita

Non resta che la presa di coscenza di ogni utente Mac OS X che nessun software è perfetto, nemmeno quello che sta più a cuore.

Andrea F. Franchitti – Il_Metallurgico – HW Legend Staff