Macs jarenlang besmet door mysterieuze malware

De malware werd gevonden door Patrick Wardle van beveiligingsbedrijf Synack. Het blijkt een variant te zijn van een in januari gevonden stuk malware voor de Mac, dat Fruitfly werd gedoopt. Deze variant heet daarom bij sommigen Fruitfly 2.

Beide programma's kunnen screenshots, toetsaanslagen, webcambeelden, informatie over de Mac en informatie over aangesloten apparaten verzamelen. Wat het doel daarvan dan is, blijft onduidelijk. Volgens Wardle leende de programmatuur zich niet voor het kapen van inloggegevens bij banken, en was er ook geen indicatie dat met het programma ransomware kon worden geïnstalleerd. Naar het zich laat aanzien kon je met Fruitfly alleen meekijken. En alle tekenen wijzen erop dat de 'uitbater' van de malware zijn activiteiten al geruime tijd geleden gestaakt heeft. De command-and-controlserver die het netwerk bestierde, was in ieder geval niet meer in de lucht.

Kennelijk jarenlang actief

Wat Wardle echter vooral zorgen baart is, dat deze malware nog steeds actief bleek. Wardle was in staat een kopie van een van de back-upservers van de command-and-controlserver weer in de lucht te brengen. En dat leidde onmiddellijk tot terugkoppeling van geïnfecteerde Macs. Fruitfly bleek dus in staat langdurig onder de radar te blijven. Een recente test liet zien dat 37 van 56 meest gebruikte antivirus- en endpoint security-producten Fruitfly 2 nog steeds niet herkent. Dat ondanks het feit dat het kennelijk al langer bestaat: Fruitfly berust op functies die al enkele jaren niet meer gebruikt worden. Bovendien gebruikt Fruitfly niet erg geavanceerde methoden om zichzelf te installeren op de Mac; ook daarvan zou je verwachten dat beveiligingsproducten die herkennen.

Het is onduidelijk hoe Fruitfly 2 verspreid is. Onduidelijk is ook hoeveel slachtoffers het heeft gemaakt. Wardles back-upserver werd in 2 dagen tijd gecontacteerd door 400 Macs, maar of dat alle infecties zijn laat zich niet vaststellen. In overleg met de autoriteiten zijn alle adressen waaraan de malware zou kunnen rapporteren inmiddels geblokkeerd.