Protezione dal ransomware per Mac: blocca la cifratura appena inizia

Cosa fa il ransomware su un Mac

Il ransomware non ha bisogno di violare macOS. Viene eseguito come te, con l'accesso che hai già ai tuoi file, e questo gli basta. Apre i tuoi documenti uno dopo l'altro, scrive una copia cifrata sopra ciascuno, spesso lo rinomina (report.docx diventa report.docx.locked) e lascia una nota in ogni cartella, con un nome tipo HOW_TO_DECRYPT.txt, con la richiesta di riscatto.

Un nuovo programma ransomware non ha ancora una firma, quindi un antivirus che confronta i file con il malware noto può non vederlo il primo giorno. Ciò che ogni ransomware ha in comune è quello che fa ai tuoi file. È questo che Ransomware Protection osserva.

Come Tidy My Mac individua il ransomware

Nessun singolo file modificato prova qualcosa: rinomini file, le app salvano e i backup scrivono in continuazione. Ransomware Protection cerca tre segnali, e interviene quando molti di essi si presentano in pochi secondi.

Un file rinominato è una curiosità. Una dozzina di file che mostrano questi segnali entro dieci secondi è un programma che sta lavorando su una cartella, ed è allora che il controllo interviene.

Colloca inoltre alcuni file esca nascosti tra i tuoi documenti. Niente di ciò che usi li apre, quindi un programma che ne riscrive uno è quasi certamente un ransomware, e il controllo agisce basandosi solo su questo.

Trovare il programma e fermarlo

macOS dice a un'app quali file sono cambiati, ma non chi li ha cambiati. Quindi, quando scatta l'allarme, Tidy My Mac esamina i programmi in esecuzione in quel momento: quanto scrive ciascuno su disco, quali file delle tue cartelle ha aperti e quale file esca ha toccato. Quello che sta scrivendo viene fermato, insieme alle copie di sé stesso che ha avviato.

Alcuni programmi non vengono mai fermati, perché un Mac senza di essi non funziona: Finder, Spotlight, iCloud, Time Machine e il resto del codice di macOS. Anche le shell da riga di comando e strumenti come openssl sono di Apple, ma gli script dei ransomware girano su di essi, quindi non hanno alcun lasciapassare.

Una notifica ti dice cos'è successo: quale programma è stato fermato e quali file ha modificato. Se era qualcosa di cui ti fidi, come uno strumento di cifratura, sincronizzazione o elaborazione di foto che riscrive di proposito molti file, scegli Always Allow. Un programma consentito viene ricordato in base alla firma del suo sviluppatore e alla sua posizione, così i suoi aggiornamenti restano consentiti ma un programma diverso messo nello stesso posto no. I programmi non firmati vengono ricordati tramite un'impronta del loro codice, che cambia con qualsiasi modifica.

Funziona insieme all'antivirus

Antivirus e Ransomware Protection individuano cose diverse. L'antivirus analizza ciò che scarichi e riconosce il malware noto prima che venga eseguito. Ransomware Protection osserva il comportamento, quindi può intercettare un programma che nessuno ha ancora visto, dopo che si è avviato. Insieme coprono il momento prima di aprire qualcosa e il momento dopo.

Cosa resta sul tuo Mac

Tutto ciò che fa Ransomware Protection avviene sul tuo Mac: osservare i tuoi file, leggere quali programmi stanno scrivendo, fermarne uno. Nulla dei tuoi file o dei tuoi programmi ci viene inviato. L'Informativa sulla privacy elenca ogni richiesta effettuata dall'app.

Accesso completo al disco

macOS protegge Scrivania, Documenti e Download con un permesso a parte. Ransomware Protection ha bisogno dell'Accesso completo al disco per osservarli, la stessa concessione unica che il resto di Tidy My Mac chiede al primo avvio.