Descripción del problema
Ayer mi madre me llamó diciendo que recibió un mensaje en su iPhone, que fue robado ( iCloud Find My Phone ). Luego tuvo que ingresar códigos de seguridad ( autenticación de dos factores ) en un campo de texto en su MacBook. No estaba allí en este momento, así que no puedo demostrarlo realmente. Creo que esto ya era una ventana de phishing del ransomware.
Ella está usando mi viejo MacBook, a principios de 2011, 13 "con SSD actualizado y 16 GB de RAM, con 10.10 instalado.
Cuando llegué, el MacBook ya estaba comprometido y mostraba el siguiente mensaje, después del arranque:
Elmensajeestáenalemánydice:
IhrComputeristdeaktiviert.VersuchenSieesin59Minutenerneut.(Translation:Yourcomputerisdeactivated.Tryitagainin59minutes.)writetoemail:[email protected][email protected]óndecorreodeAppleválida.
BusquéenGoogleexactamenteelmismomensajeynoobtuveningúnbuenresultado.Losúnicosresultadosqueencontréfueronestos:
- Teléfono bloqueado en modo perdido
¿Cómo solucionarlo?
Mi pensamiento fue que solo se trataba de una superposición de pantalla y debería poder iniciarse en otro sistema operativo (Ubuntu en vivo) para acceder a los datos. Quería encontrar un rastro del ransomware. Tal vez podría averiguar cómo se llama o qué estaba haciendo con los datos.
Cuando intenté arrancar desde otro dispositivo, la Mac estaba bloqueada con una contraseña de protección del firmware EFI (estaba apareciendo la misma pantalla con el pequeño candado). Nunca puse esto y realmente dudo que mi madre lo haya hecho. Por lo tanto, podría ser sólo el ransomware.
Así que primero tuve que restablecer la contraseña del firmware. Afortunadamente, encontré una entrada de blog que describe una forma en la que tienes que cambiar la cantidad de RAM en tu sistema y luego restablecer la PRAM / NVRAM . Pensé que suena un poco a magia, pero por otro lado, el sistema no podría empeorar.
Quité una memoria RAM, arranqué con CTRL + ALT + P + R y esperé a tres reinicios .
Después de eso, el bloqueo del firmware desapareció y fue posible arrancar desde una memoria USB. Busqué cambios de archivos recientes en la partición de mac, pero no pude encontrar nada. Los datos de la carpeta de inicio no estaban encriptados (por lo que tal vez era un engaño).
Así que hice una copia de seguridad de sus datos y luego traté de hacer un arranque normal nuevamente. Sorprendentemente, el mensaje de ransomware se fue! Podría simplemente arrancar en el sistema como de costumbre.
Ejecuto un escaneo de Bitdefender, pero no se encontró nada. Es realmente misterioso y no tengo idea de lo que realmente sucedió.
Pregunta
Entonces, mi pregunta ahora es: ¿Alguien conoce este problema o este tipo de ataque? No tengo ni idea de cómo los atacantes podrían establecer la contraseña del firmware y dónde se estaba ejecutando el software del ransomware.
Tal vez estaba en una partición propia pero no pude encontrarla. El MacOS parece no estar dañado.
Update
Le pregunté a un empleado de Apple Store hoy y él no sabía nada acerca de un hack como este. Pero me dijo que no debería ser posible restablecer la contraseña del firmware. Solo Apple es capaz de hacer eso.