Ransomwarebescherming voor Mac: stop versleuteling terwijl het begint

Wat ransomware op een Mac doet

Ransomware hoeft macOS niet te kraken. Het draait als jijzelf, met de toegang die je al hebt tot je eigen bestanden, en meer heeft het niet nodig. Het opent je documenten een voor een, schrijft over elk een versleutelde kopie, hernoemt het vaak (report.docx wordt report.docx.locked) en laat in elke map een briefje achter, met een naam als HOW_TO_DECRYPT.txt, met de losgeldeis.

Een nieuw ransomwareprogramma heeft nog geen handtekening, dus een antivirus die bestanden met bekende malware vergelijkt, kan het op dag één missen. Wat elk ransomwareprogramma gemeen heeft, is wat het met je bestanden doet. Daar let Ransomware Protection op.

Hoe Tidy My Mac ransomware herkent

Geen enkel gewijzigd bestand bewijst iets: je hernoemt bestanden, apps bewaren, en back-ups schrijven de hele tijd. Ransomware Protection zoekt naar drie tekenen en grijpt in als er veel van binnen een paar seconden optreden.

Eén hernoemd bestand is een curiositeit. Een dozijn bestanden met deze tekenen binnen tien seconden is een programma dat een map doorwerkt, en dan grijpt de bewaker in.

Het plaatst ook een paar verborgen lokbestanden tussen je documenten. Niets wat jij gebruikt opent ze, dus een programma dat er een herschrijft is vrijwel zeker ransomware, en de bewaker handelt alleen daarop al.

Het programma vinden en stoppen

macOS vertelt een app welke bestanden zijn gewijzigd, maar niet wie ze wijzigde. Dus als het alarm afgaat, kijkt Tidy My Mac naar de programma's die op dat moment draaien: hoeveel elk naar de schijf schrijft, welke bestanden in je mappen het open heeft en welk lokbestand het aanraakte. Het programma dat schrijft, wordt gestopt, samen met kopieën van zichzelf die het ernaast startte.

Sommige programma's worden nooit gestopt, omdat een Mac zonder hen kapot is: Finder, Spotlight, iCloud, Time Machine en de rest van de eigen code van macOS. Opdrachtregelshells en tools als openssl zijn ook van Apple, maar ransomwarescripts draaien erop, dus zij krijgen geen vrijbrief.

Een melding vertelt je wat er is gebeurd: welk programma is gestopt en welke bestanden het wijzigde. Als het iets was wat je vertrouwt, zoals een versleutelings-, synchronisatie- of fotoverwerkingstool die bewust veel bestanden herschrijft, kies dan Always Allow. Een toegestaan programma wordt onthouden aan de hand van de handtekening van zijn ontwikkelaar en zijn locatie, zodat updates toegestaan blijven maar een ander programma dat op dezelfde plek wordt neergezet dat niet is. Niet-ondertekende programma's worden onthouden aan de hand van een vingerafdruk van hun code, die met elke wijziging verandert.

Werkt samen met de antivirus

De Antivirus en Ransomware Protection vangen verschillende dingen. De antivirus scant wat je downloadt en herkent bekende malware voordat die draait. Ransomware Protection let op gedrag, zodat het een programma kan vangen dat nog niemand heeft gezien, nadat het is gestart. Samen dekken ze het moment voordat je iets opent en het moment erna.

Wat op je Mac blijft

Alles wat Ransomware Protection doet, gebeurt op je Mac: je bestanden in de gaten houden, lezen welke programma's schrijven, er een stoppen. Er wordt niets over je bestanden of je programma's naar ons gestuurd. Het Privacybeleid vermeldt elk verzoek dat de app doet.

Volledige schijftoegang

macOS beschermt Bureaublad, Documenten en Downloads met een eigen toestemming. Ransomware Protection heeft Volledige schijftoegang nodig om ze te bewaken, dezelfde ene toestemming waar de rest van Tidy My Mac bij de eerste start om vraagt.