Hieruit blijkt de zwakte van Open Source (kwaadwillenden kunnen de broncode aanpassen), maar tevens de kracht (de broncode is ook goed te analyseren).
Hoe dan ook. Het was weer eens een leuke zoektocht om te kijken hoe het in elkaar steekt 
...
De laatste bijdrage(n) van de geïnfecteerde Transmission-toepassing is gesigneerd met een certificaat (Z7276PX673) op de naam POLİSAN BOYA SANAYİ VE TİCARET ANONİM ŞİRKETİ. De naam verwijst naar een legitiem bedrijf in Izmir (Turkije). Er zijn verschillende scenario's denkbaar, (nog) niet kunnen onderzoeken hoe het verder zit.
Van oorsprong is het niet een IT-onderneming. Ofwel er is sprake van een kwaadwillende binnen de onderneming, of er is sprake van 'identity theft', waarbij de gegevens van het bedrijf zijn gebruikt om (valselijk) een certificaat aan te vragen. Maar goed, er zijn meer scenario's mogelijk.
En dan ... Te simpel voor woorden ... Waaruit blijkt dat bepaalde zwaktes nog lang niet uit MacOS X zijn gehaald.
Als je via de terminal 'naar de Transmission.app switcht om vervolgens middels een eenvoudig file commando te bepalen of de inhoud van de bestanden strookt met de extensie, dan kom je al tot iets vreemds:
Transmission.app/Contents/Resources/General.rtf
Heeft weliswaar de extensie RTF maar is feitelijk een executable ... Omdat de Finder al sinds jaar en dag eigenlijk alleen naar de extensie kijkt, ziet het bestand er vanuit de Finder ook uit als ... Juist ja ... Een textbestand (RTF-bestand).
Omdat het bestand zich binnenin een geïnstalleerde toepassing bevind heeft het, zeg maar, 'de nodige rechten' (lees: programma rechten).
Nadere kijk op het bestand laat zien dat de toepassing 'bitewise' is geoptimaliseerd middels een zogeheten 'packer'. Het gebruik hiervan heeft twee voordelen: verkleinen (optimaliseren) van de grootte van een bestand en ... de inhoud van het bestand wordt (wederom) iets minder leesbaar. Gelukkig is UPX open source, dus ... is het een kwestie van downloaden en uitpakken ... 
http://upx.sourceforge.net/
Tja en wat dan volgt ... de mallware nestelt zich home-directory door drie bestandjes weg te schrijven:
.kernel_pid, .kernel_time en .kernel_complete.
De systeemtijd wordt steeds weggeschreven naar .kernel_time ... De machine-naam tezamen met de UUID wordt vervolgens door 'ET' doorgeseind naar het moederschip. Moederschip stuurt vervolgens een sleutel terug. Het laat zich raden, de sleutel wordt (later) gebruikt om de bestanden te versleutelen...
Overigens is alles keurig te herleiden, daar gebruik wordt gemaakt van standaard-mechanismen, zoals BASE64 om de inhoud van het bestand te 'versleutelen'.
... vervolgens hebben we drie dagen incubatie-tijd ... Na die drie dagen ontwaakt het kwaadwillende organisme om vervolgens, spreekwoordelijk 'los' te gaan ...
Na die drie dagen gaat de software los ... Een hele rits extensies is opgenomen in de kwaadwillende software: certificaten (.pem), email-berichten (.eml), archiefbestanden (.zip, .tar, .gzip), photos, audio-bestanden, documenten, ga zo maar door ... Van alles wordt onderhanden genomen.
In verband met de rechten doorloopt de software enkel de /Users-directory op de installatie-schijf. Maar ... ook alles wat op dat moment eventueel gemount is (externe schijven bijvoorbeeld) op /Volumes ...
Heb je op dat moment een Externe Schijf hangen aan je Mac, dan gaat die vrolijk mee de verdoemenis in ...
Timemachine lijkt niet getroffen te worden, althans zo lijkt het. Maar van een collega heb ik begrepen dat er aanwijzingen gevonden zijn waaruit blijkt dat de kwaadwillenden wel bezig waren (of zijn) met een Timemachine implementatie ... Maar ikzelf gebruik geen Timemachine en kan het niet testen.
Het is en blijft belangrijk om niet goed op te passen en het liefst 2 kopieen van je data te hebben. 1 kopie die je 'dagelijks' kunt aanspreken en 1 kopie die je met 'de nodige interval' (zeg drie dagen of een week) laat synchroniseren met je 1e kopie. Of ... je gebruikt afwisselend (om en om) twee schijven ... Wordt ook je backup getroffen, dan ben je nog steeds niet alles kwijt.
Het blijft altijd wrang, het gaat immers om criminelen. Maar het is ergens ook wel knap dat men praktisch alleen open source toepassingen en MacOS X eigen opdrachten gebruikt ... Wat dat betreft is het 'overzichtelijk' geprogrammeerd.
Tot slot: ikzelf download geen illegale films of muziek meer. Al jaren niet ... Voor mijn werk (security gerelateerd) moet ik echter wel de nodige systemen 'om zeep' helpen, zowel MacOS X als Windows ... Wat ik meestal doe is werken vanaf een externe schijf, waarbij de interne schijf niet zomaar benaderbaar is omdat deze versleuteld is en niet automatisch wordt aangekoppeld.
Mochten (gratis) films, series en muziek inmiddels hetzelfde verslavende effect hebben als suiker, roken of erger ... Dan is dat mogelijk een idee: om te werken met een externe schijf met een volwaardige MacOS X installatie. Als je interne schijf is versleuteld (FileVault), wordt deze niet zomaar gemount bij het werken van externe schijf.
Overigens worden voor 'zware sessies' speciaal geprepareerde computers gebruikt die verder nergens anders voor worden gebruikt dan onderzoek.
Groet,
Doctor 
Gast
