Crypto-malware valt Macs aan via MacUpdate

Heb je recent via de site MacUpdate de browser Firefox of de hulpprogramma’s Onyx en Deeper gedownload? Dan draait er nu mogelijk malware op je Mac – zonder dat je dat doorhebt. Op 1 februari hebben hackers de download-links van bovengenoemde programma’s op MacUpdate aangepast en lieten gebruikers op die manier een besmette versie van de bekende apps dowloaden. Dit liet beveiligingsonderzoeker Patrick Wardle weten. Het is overigens niet de eerste keer dat hackers de database van MacUpdate hebben gebruikt om malware te verspreiden. Zo’n twee jaar terug gebeurde het ook al een keer met een programma om bestanden te converteren.

Gemanipuleerde Firefox met crypto-malware

Bij het openen van de besmette programma’s wordt de malware MinerGate geïnstalleerd. Dat is een crypto-malware die op de achtergrond de cryptovaluta Monero gaat ‘minen’ en hiervoor de rekenkracht van jouw computer gebruikt. De malware zorgt zo voor een buitengewoon hoge processorbelasting, maar doet verder geen kwaadaardige dingen, aldus Wardle. Wel is het mogelijk dat de malware zichzelf gaat updaten en op die manier andere, kwaadaardigere malware installeert.

kooptip

De iPhone 15 Pro: nu tot €500 terug bij inruil van je oude telefoon

• En zonder aansluitkosten t.w.v. €25
• Extra voordeel als je KPN thuis hebt

Bekijk actie

Veiligheidsmechanismen van macOS werden omzeild

De gemanipuleerde programma’s waren allemaal gesigneerd met een Apple Developer ID. Daarom toonde de veiligheidsfunctie Gatekeeper ook geen waarschuwing. Apple heeft dat ontwikkelaars-account inmiddels gedeactiveerd en MacUpdate heeft de links naar de programma’s weer aangepast.

MacUpdate heeft zijn excuses aangeboden – de site is zelf in de aanval van de hackers getrapt. In een reactie werd ook gezegd dat de ontwikkelaars van de apps niet verantwoordelijk waren voor het verspreiden van de malware,

Controleer of je veilig bent

Om te controleren of je veilig bent, hoef je maar in de Bibliotheek van je gebruikersmap te kijken. Als je daar een map met de naam mdworker ziet (dus ~/Bibliotheek/mdworker/), is de crypto-malware geïnstalleerd. Verwijderen is gelukkig een fluitje van een cent: je hoeft de map maar te verwijderen. Kijk daarnaast of het bestand ~/Library/LaunchAgents/ MacOSUpdate.plist bestaat – ook dit kan namelijk op een infectie wijzen. Vind je het bestand, verwijder je het.