Un programme de ransomware capable de chiffrer les données des machines sous MacOS est actuellement en train de sévir. Ce dernier se propage via les sites de téléchargement Bittorent et les utilisateurs qui en sont victimes ne peuvent pas recouvrer leurs données, même après avoir payé la rançon demandée par les cyberpirates. Les programmes de cryptoware pour MacOS sont rares. Il s'agit de la seconde menace sérieuse après KeRanger bien qu'il soit mal conçu. Ce programme a été baptisé OSX / Filecoder.E par les chercheurs en sécurité du fournisseur de solutions de sécurité Eset qui l'ont trouvé.

OSX / Filecoder.E se camoufle dans des outils permettant d'installer sans licence des logiciels commerciaux tel qu'Adobe Premier Pro CC et Microsoft Office pour Mac proposés sur des sites de téléchargement Bittorent. Ce programme a été écrit dans le langage de programmation Swift d'Apple par un développeur semble-t-il inexpérimenté à en juger par les nombreuses erreurs commises dans son implémentation. 

Un puissant générateur de nombres aléatoires

L'installeur d'application n'est pas signé par un certificat de développeur fourni par Apple, ce qui rend l'installation du malware plus difficile sur les versions récentes d'OS X et de MacOS, les utilisateurs devant changer les paramètres de configuration de sécurité par défaut. Le plus gros souci de ce malware concerne la façon dont il chiffre les fichiers. Il génère une clé de chiffrement unique pour tous les fichiers et les chiffre dans des archives zippées. Cependant, le malware ne semble pas être capable de communiquer avec un serveur externe, empêchant toute possibilité d'envoi de la clé à l'attaquant avant d'être détruit. 

Cela signifie que même si les victimes suivent les instructions du pirate, dans le fichier texte readme!, pour payer la rançon, ils ne récupéreront jamais leurs fichiers. Le chiffrement étant fort, il ne semble pas possible à casser en employant une méthode brute. « Le mot de passe ZIP aléatoire est généré avec arc4random_uniform considéré comme un générateur chiffré de nombres aléatoires », ont indiqué les chercheurs d'Eset dans leur blog. « La clé est également trop longue pour la force brute dans un temps imparti raisonnable. »

MacOS, un système cible de ransomware comme un autre

Les chercheurs ont suivi l'adresse du portefeuille de bitcoind utilisé par l'attaquant et n'ont jusqu'à présent vu aucun paiement effectué. La boite email publique que le pirate a utilisé ne montre également aucun signe de communications avec des victimes potentielles. Quand bien même OSX/Filecoder.E est sans doute le fruit d'un codeur inexpérimenté qui a choisi d'arnaquer les victimes plutôt que de construire une infrastructure de commande et de contrôle pour détenir des clés de déchiffrement, ce programme montre que MacOS est une cible viable pour les créateurs de ransomware. Les programmes malveillants pour cet OS devraient sans doute augmenter sachant que les gangs de pirates sont en compétition pour faire payer leurs victimes sur d'autres plateformes.