Спустя полгода с момента случая (https://www.opennet.ru/opennews/art.shtml?num=43996) с подстановкой вредоносного ПО в официальную сборку BitTorrent-клиента Transmission  для платформы macOS, инцидент повторился (https://transmissionbt.com/keydnap_qa/). Как и в прошлый раз установочный пакет для платформы macOS был заменён. 28 и 29 августа с официального сайта (https://transmissionbt.com/) проекта   распространялась сборка Transmission 2.92  с вредоносным ПО  OSX/Keydnap (http://www.welivesecurity.com/2016/07/06/new-osxkeydnap-malw.../), осуществляющим кражу паролей. Всем пользователям macOS, установившим Transmission в указанный период требуется предпринять меры по удалению вредоносное ПО из системы.

По предварительным данным, подмена была осуществлена в результате взлома сервера проекта, произошедшего 28 августа. Для предотвращения подобных инцидентов в будущем разработчики перенесли компоненты сайта и все бинарные файлы с собственных серверов на GitHub. В дальнейшем все бинарные архивы и сайт (включая, контрольные суммы) будут разнесены в разные репозитории. Содержимое всех серверов проекта будет перенесено на новые системы.

Определить внедрение вредоносного ПО можно по наличию активных процессов icloudproc, License.rtf, icloudsyncd и   /usr/libexec/icloudsyncd -launchd netlogon.bundle. Для очистки системы необходимо завершить эти процессы в Activity Monitor, после чего удалить следующие файлы и директории:

-     /Library/Application Support/com.apple.iCloud.sync.daemon/
-     /Library/LaunchAgents/com.apple.iCloud.sync.daemon.plist
-     /Users/$USER/Library/Application Support/com.apple.iCloud.sync.daemon/
-     /Users/$USER/Library/Application Support/com.geticloud/
-     /Users/$USER/Library/LaunchAgents/com.apple.iCloud.sync.daemon.plist
-     /Users/$USER/Library/LaunchAgents/com.geticloud.icloud.photo.plist

После этого нужно удалить Transmission и установить корректную сборку, проверив её по контрольной сумме.

URL: https://www.esetnod32.ru/company/press/center/eset-torrent-k.../
Новость: https://www.opennet.ru/opennews/art.shtml?num=45082