Le 11 mars 2016

Au début du mois de mars, plusieurs médias des sites web et des blogs ont signalé la propagation du premier Trojan Encoder ciblant les ordinateurs tournant sous OS X. Les analystes de Doctor Web ont examiné ce programme malveillant nommé Mac.Trojan.KeRanger.2 et ont crée une technologie de décryptage des fichiers corrompus par ce Trojan.

Le Trojan Encoder Mac.Trojan.KeRanger.2 a été détecté pour la première fois dans l’installateur contaminé d'un client torrent populaire pour OS X diffusé sous forme de fichier DMG. Le programme a été signé par le certificat valide d'un éditeur d'applications pour OS X, ce qui lui a permis de contourner le système de protection embarqué de l'OS.

Une fois installé sur un ordinateur, le Trojan Mac.Trojan.KeRanger.2 attend trois jours durant lesquels il reste en mode "veille". Après cela, il établit une connexion avec son serveur C&C en utilisant le réseau TOR. Puis il commence à chiffrer les fichiers de l'utilisateur : Mac.Trojan.KeRanger.2 chiffre absolument tous les fichiers auxquels il a accès avec les privilèges utilisateur ou avec les privilèges root. Le programme malveillant essaie ensuite de chiffrer le contenu de la partition logique /Volumes, c’est-à-dire les fichiers stockés sur le disque dur et dans les partitions logiques montées. Dans ce cas, les fichiers sont cryptés selon une liste existante, - les malfaiteurs ont prévu 313 différents types de fichiers, y compris les documents texte et graphiques. Le Trojan reçoit une clé de cryptage et un fichier contenant les exigences des criminels depuis le serveur de contrôle. Un trait caractéristique de ce Trojan Encoder est l'ajout de l'extension " .encrypted " aux fichiers chiffrés et l'apparition dans les dossiers d'un fichier nommé « README_FOR_DECRYPT.txt ».

Les spécialistes de Doctor Web ont développé une technologie permettant de déchiffrer les fichiers endommagés par ce Trojan Encoder.

Pour utiliser le service de déchiffrage des fichiers qui sont devenus inaccessibles suite à l'intrusion de Mac.Trojan.KeRanger.2, procédez comme suit :

• déposez une plainte à la police ;
• ne modifiez pas le contenu des dossiers avec les fichiers cryptés ;
• ne supprimez aucun fichier sur votre ordinateur ;
• n'essayez pas de restaurer les fichiers cryptés vous-même ;
• contactez le support technique de Doctor Web (ce service est gratuit pour les utilisateurs de licences commerciales Dr.Web) ;
• joignez à votre demande tout fichier crypté par le Trojan ;
• attendez la réponse du support technique ; en raison du nombre élevé de requêtes, cela peut prendre du temps.

Rappelons que les services de déchiffrement sont gratuits uniquement pour les utilisateurs des produits commerciaux Dr.Web. Pré-requis pour envoyer une requête de déchiffrage sur ce lien. Doctor Web ne garantit pas le décryptage de tous les fichiers touchés par l'encoder, mais nos spécialistes feront tout leur possible pour restaurer les données cryptées.

Plus d'infos sur ce Trojan