Ransomware-Schutz für den Mac: die Verschlüsselung stoppen, während sie beginnt

Was Ransomware auf einem Mac tut

Ransomware muss macOS nicht knacken. Sie läuft unter Ihrem Konto, mit dem Zugriff, den Sie ohnehin auf Ihre eigenen Dateien haben, und das reicht ihr. Sie öffnet Ihre Dokumente nacheinander, schreibt über jedes eine verschlüsselte Kopie, benennt es oft um (aus report.docx wird report.docx.locked) und hinterlässt in jedem Ordner eine Nachricht mit der Lösegeldforderung, die etwa HOW_TO_DECRYPT.txt heißt.

Ein neues Ransomware-Programm hat noch keine Signatur, deshalb kann ein Virenscanner, der Dateien mit bekannter Malware abgleicht, es am ersten Tag übersehen. Was alle Ransomware-Programme gemeinsam haben, ist, was sie mit Ihren Dateien tun. Darauf achtet Ransomware Protection.

Wie Tidy My Mac Ransomware erkennt

Keine einzelne geänderte Datei beweist etwas: Sie benennen Dateien um, Apps speichern, und Backups schreiben ständig. Ransomware Protection achtet auf drei Anzeichen und greift ein, wenn viele davon innerhalb weniger Sekunden auftreten.

Eine umbenannte Datei ist eine Kuriosität. Ein Dutzend Dateien mit diesen Anzeichen innerhalb von zehn Sekunden ist ein Programm, das einen Ordner abarbeitet, und dann greift der Wächter ein.

Außerdem legt es ein paar versteckte Köderdateien zwischen Ihre Dokumente. Nichts, was Sie benutzen, öffnet sie, deshalb ist ein Programm, das eine davon überschreibt, mit ziemlicher Sicherheit Ransomware, und der Wächter handelt allein deswegen.

Das Programm finden und stoppen

macOS sagt einer App, welche Dateien sich geändert haben, aber nicht, wer sie geändert hat. Wenn der Alarm ausgelöst wird, sieht Tidy My Mac sich deshalb die Programme an, die in diesem Moment laufen: wie viel jedes auf den Datenträger schreibt, welche Dateien in Ihren Ordnern es geöffnet hat und welchen Köder es berührt hat. Das Programm, das schreibt, wird gestoppt, zusammen mit Kopien seiner selbst, die es parallel gestartet hat.

Einige Programme werden nie gestoppt, weil ein Mac ohne sie kaputt ist: Finder, Spotlight, iCloud, Time Machine und der übrige eigene Code von macOS. Kommandozeilen-Shells und Tools wie openssl stammen ebenfalls von Apple, aber Ransomware-Skripte laufen darauf, deshalb bekommen sie keinen Freibrief.

Eine Mitteilung sagt Ihnen, was passiert ist: welches Programm gestoppt wurde und welche Dateien es geändert hat. Wenn es etwas ist, dem Sie vertrauen, etwa ein Verschlüsselungs-, Synchronisierungs- oder Fotobearbeitungs-Tool, das absichtlich viele Dateien umschreibt, wählen Sie Always Allow. Ein erlaubtes Programm wird anhand der Signatur seines Entwicklers und seines Speicherorts gemerkt, seine Updates bleiben also erlaubt, ein anderes Programm am selben Ort dagegen nicht. Unsignierte Programme werden anhand eines Fingerabdrucks ihres Codes gemerkt, der sich bei jeder Änderung ändert.

Arbeitet mit dem Virenscanner zusammen

Der Antivirus und Ransomware Protection erkennen Unterschiedliches. Der Virenscanner prüft, was Sie herunterladen, und erkennt bekannte Malware, bevor sie läuft. Ransomware Protection beobachtet das Verhalten und kann deshalb ein Programm erkennen, das noch niemand gesehen hat, nachdem es gestartet ist. Zusammen decken sie den Moment vor dem Öffnen von etwas und den Moment danach ab.

Was auf Ihrem Mac bleibt

Alles, was Ransomware Protection tut, geschieht auf Ihrem Mac: Ihre Dateien beobachten, lesen, welche Programme schreiben, eines stoppen. Nichts über Ihre Dateien oder Ihre Programme wird an uns gesendet. Die Datenschutzerklärung führt jede Anfrage der App auf.

Festplattenvollzugriff

macOS schützt Schreibtisch, „Dokumente“ und „Downloads“ mit einer eigenen Berechtigung. Ransomware Protection braucht den Festplattenvollzugriff, um sie zu beobachten, dieselbe einzelne Freigabe, die der Rest von Tidy My Mac beim ersten Start erbittet.