Proteção contra ransomware no Mac: interrompa a criptografia assim que ela começa

O que o ransomware faz em um Mac

O ransomware não precisa quebrar o macOS. Ele roda como você, com o acesso que você já tem aos seus próprios arquivos, e isso é tudo de que precisa. Ele abre seus documentos um após o outro, grava uma cópia criptografada por cima de cada um, muitas vezes o renomeia (report.docx vira report.docx.locked) e deixa em cada pasta um bilhete, com nome como HOW_TO_DECRYPT.txt, com a exigência de resgate.

Um ransomware novo ainda não tem assinatura, então um antivírus que compara arquivos com malware conhecido pode não detectá-lo no primeiro dia. O que todo ransomware tem em comum é o que ele faz com os seus arquivos. É isso que o Ransomware Protection observa.

Como o Tidy My Mac identifica o ransomware

Nenhum arquivo alterado, isolado, prova algo: você renomeia arquivos, apps salvam e backups gravam o tempo todo. O Ransomware Protection procura três sinais e age quando muitos deles aparecem em poucos segundos.

Um arquivo renomeado é uma curiosidade. Uma dúzia de arquivos com esses sinais em dez segundos é um programa percorrendo uma pasta, e é nesse momento que a proteção entra em ação.

Ele também coloca alguns arquivos-isca ocultos entre os seus documentos. Nada que você usa os abre, então um programa que reescreve um deles é quase certamente um ransomware, e a proteção age só com base nisso.

Encontrar o programa e interrompê-lo

O macOS informa a um app quais arquivos mudaram, mas não quem os mudou. Por isso, quando o alarme dispara, o Tidy My Mac examina os programas em execução naquele momento: quanto cada um está gravando em disco, quais arquivos das suas pastas ele tem abertos e qual isca ele tocou. O que está gravando é interrompido, junto com as cópias de si mesmo que ele iniciou ao lado.

Alguns programas nunca são interrompidos, porque um Mac sem eles não funciona: Finder, Spotlight, iCloud, Time Machine e o resto do código do próprio macOS. Os shells de linha de comando e ferramentas como o openssl também são da Apple, mas scripts de ransomware rodam neles, então não têm passe livre.

Uma notificação diz o que aconteceu: qual programa foi interrompido e quais arquivos ele alterou. Se era algo em que você confia, como uma ferramenta de criptografia, sincronização ou processamento de fotos reescrevendo muitos arquivos de propósito, escolha Always Allow. Um programa permitido é lembrado pela assinatura do desenvolvedor e pelo local, então as atualizações dele continuam permitidas, mas um programa diferente colocado no mesmo lugar não. Programas sem assinatura são lembrados por uma impressão digital do código, que muda com qualquer edição.

Funciona junto com o antivírus

O Antivirus e o Ransomware Protection detectam coisas diferentes. O antivírus verifica o que você baixa e reconhece malware conhecido antes de ele rodar. O Ransomware Protection observa o comportamento, então pode pegar um programa que ninguém viu ainda, depois que ele começa. Juntos, cobrem o momento antes de você abrir algo e o momento depois.

O que fica no seu Mac

Tudo o que o Ransomware Protection faz acontece no seu Mac: observar seus arquivos, ler quais programas estão gravando, interromper um. Nada sobre os seus arquivos ou programas é enviado para nós. A Política de Privacidade lista todas as requisições que o app faz.

Acesso Total ao Disco

O macOS protege a Mesa, Documentos e Downloads com uma permissão própria. O Ransomware Protection precisa do Acesso Total ao Disco para observá-los, a mesma concessão única que o resto do Tidy My Mac pede na primeira abertura.