Protección contra ransomware para Mac: frena el cifrado en cuanto empieza

Qué hace el ransomware en un Mac

El ransomware no necesita vulnerar macOS. Se ejecuta como tú, con el acceso que ya tienes a tus propios archivos, y eso es todo lo que necesita. Abre tus documentos uno tras otro, escribe una copia cifrada sobre cada uno, a menudo lo renombra (report.docx pasa a ser report.docx.locked) y deja una nota en cada carpeta, con un nombre como HOW_TO_DECRYPT.txt, con la exigencia de rescate.

Un programa de ransomware nuevo aún no tiene firma, así que un antivirus que compara archivos con malware conocido puede no detectarlo el primer día. Lo que todos los programas de ransomware tienen en común es lo que hacen con tus archivos. Eso es lo que vigila Ransomware Protection.

Cómo detecta Tidy My Mac el ransomware

Ningún archivo modificado demuestra nada por sí solo: renombras archivos, las apps guardan y las copias de seguridad escriben continuamente. Ransomware Protection busca tres señales, y actúa cuando muchas de ellas aparecen en pocos segundos.

Un archivo renombrado es una curiosidad. Una docena de archivos que muestran estas señales en diez segundos es un programa recorriendo una carpeta, y ahí es cuando interviene el guardián.

También coloca unos cuantos archivos señuelo ocultos entre tus documentos. Nada de lo que usas los abre, así que un programa que reescribe uno es casi con seguridad ransomware, y el guardián actúa solo por eso.

Encontrar el programa y detenerlo

macOS le dice a una app qué archivos han cambiado, pero no quién los cambió. Así que, cuando salta la alarma, Tidy My Mac examina los programas que se están ejecutando en ese momento: cuánto está escribiendo cada uno en el disco, qué archivos de tus carpetas tiene abiertos y qué señuelo tocó. El que está escribiendo se detiene, junto con las copias de sí mismo que haya iniciado a la vez.

Algunos programas nunca se detienen, porque un Mac sin ellos no funciona: el Finder, Spotlight, iCloud, Time Machine y el resto del código propio de macOS. Los shells de línea de comandos y herramientas como openssl también son de Apple, pero los scripts de ransomware se ejecutan con ellos, así que no tienen vía libre.

Una notificación te dice qué ocurrió: qué programa se detuvo y qué archivos modificó. Si era algo de confianza, como una herramienta de cifrado, sincronización o procesamiento de fotos que reescribe muchos archivos a propósito, elige Always Allow. Un programa permitido se recuerda por la firma de su desarrollador y su ubicación, así que sus actualizaciones siguen permitidas pero otro programa colocado en el mismo sitio no. Los programas sin firmar se recuerdan por una huella de su código, que cambia con cualquier modificación.

Funciona junto con el antivirus

El Antivirus y Ransomware Protection detectan cosas distintas. El antivirus analiza lo que descargas y reconoce el malware conocido antes de que se ejecute. Ransomware Protection vigila el comportamiento, así que puede detectar un programa que nadie ha visto todavía, después de que se inicia. Juntos cubren el momento anterior a abrir algo y el posterior.

Lo que se queda en tu Mac

Todo lo que hace Ransomware Protection ocurre en tu Mac: vigilar tus archivos, leer qué programas están escribiendo, detener uno. No se nos envía nada sobre tus archivos ni tus programas. La Política de privacidad enumera todas las solicitudes que hace la app.

Acceso total al disco

macOS protege Escritorio, Documentos y Descargas con un permiso propio. Ransomware Protection necesita Acceso total al disco para vigilarlos, la misma concesión única que el resto de Tidy My Mac pide en el primer inicio.