Flashback è forse uno dei trojan più ardui da scovare mai rilasciato per piattaforma Mac OS X: in passato avevamo già visto altri malware per il sistema operativo di Apple, ma quasi tutti prevedevano una serie di passaggi per essere installati e l’immissione della password di sistema. Flaschback, invece, si camuffa da installazione Java, non richiede la password e ha già infettato 600.000 computer. In questo articolo spiegheremo come fare per scoprire se il tuo Mac è stato infettato e come fare per eliminarlo.
Il malware è mascherato da aggiornamento Java, ma la cosa più pericolosa è il fatto che, per installarsi, non richiede alcuna password: è sufficiente lanciarlo per far partire il processo di installazione. Una volta installato, il trojan comprometterà la sicurezza del Mac. La via per evitare di installarlo è quella di non scaricare aggiornamenti Java da siti sospetti. Anzi, è altamente consigliato effettuare l’eventuale update direttamente da “Aggiornamento Software”: in questo modo avrete la certezza di non installare alcun tipo di trojan.
Inoltre, ricordiamo che basta fare un po’ di attenzione per non incappare in questi malware. Mac OS X è strutturato in modo tale che nulla si installa in automatico, ma c’è sempre bisogno dell’operato dell’utente, e in questo caso basterebbe leggere l’avviso in rosso relativo al certificato “non valido” in fase di installazione del presunto update di Java per capire che non si tratta di nulla di buono.
In ogni caso, ei 600.000 Mac infetti, il 57% si trova negli USA e il 20% in Canada. In Italia solo lo 0.3% delle macchine è stato infetto.
Ma per essere sicuri di non aver infettato il Mac, cosa bisogna fare? Il trojan Flashback ha un’estensione di tipo “.so” e per scovarlo si possono utilizzare degli antivirus come F-Secure o Intego o la procedura manuale che andremo a spiegare.
Come scovare manualmente il trojan Flashback
Flaschback installa un file invisibile in /Users/Shared del sistema operativo, con un nome che può variare di caso in caso. Inoltre, altri file vengono installati nei seguenti percorsi: /Users/Shared/.svcdmp , ~/.MACOSX/environment.plist , ~/Library/Logs/vmLog. Infine viene posizionato un applet Java in ~/Library/Caches.
Per scoprire se tali file sono stati installati sul Mac, aprite Terminale (lo trovate in Applicazioni/Utility) e digitate la seguente stringa seguita dal tasto Invio:
ls /Users/Shared/.*.so
Se il risultato è “No such file or directory” (come da immagine in alto) significa che il trojan non è presente sul vostro Mac. Se, invece, viene visualizzato un elenco di file con estensione “.so”, allora il malware è presente sul vostro Mac.
Come eliminare il trojan Flashback
Per ripararsi fin da subito bisogna disabilitare Java dalle Impostazioni di Safari: aprire le Preferenze del programma, andate in Sicurezza e togliete la spunta dalla voce “Abilita Java”. Ora, per eliminare il trojan FlaschBack bisogna seguire i seguenti passaggi:
1. Lancia Terminale e digita la seguente stringa:
defaults read /Applications/Safari.app/Contents/Info LSEnvironment
2. Prendi nota dei codici DYLD_INSERT_LIBRARIES e premi nuovamente Invio
3. Se si riceve un messaggio di errore del tipo “The domain/default pair of (/Applications/Safari.app/Contents/Info, LSEnvironment) does not exist” significa che il Mac non è stato infetto
4. Se i file vengono trovati, digita in Terminale la stringa
grep -a -o ‘__ldpath__[ -~]*’ %percorso_del_punto_2%
e prendi nota del valore che compare accanto a “__ldpath__”
5. Esegui i comandi “sudo defaults delete /Applications/Safari.app/Contents/Info LSEnvironment” e “sudo chmod 644 /Applications/Safari.app/Contents/Info.plist”, cancellando quindi i file trovati nel secondo e nel quarto punto
6. Esegui il comando “defaults read ~/.MacOSX/environment DYLD_INSERT_LIBRARIES” e, se si riceve un messaggio come “The domain/default pair of (/Users/joe/.MacOSX/environment, DYLD_INSERT_LIBRARIES) does not exist” il trojan è stato correttamente rimosso. In caso contrario, eseguire nuovamente “grep -a -o ‘__ldpath__[ -~]*’ %percorso_del_punto 4% “, prendendo nota dei valori.
7. Ora dopo aver eseguito nuovamente il comando “defaults delete ~/.MacOSX/environment DYLD_INSERT_LIBRARIES launchctl unsetenv DYLD_INSERT_LIBRARIES”, cancella i file indicati nei punti precedenti.
ATTENZIONE: alcune varianti del trojan Flashback includono componenti aggiuntive, che richiedono degli step in più per essere eliminate. In questo caso si consiglia di rivolgersi ad un esperto e di leggere la pagina di supporto che trovate qui.