E’ la prima volta che un codice virale colpisce su una scala così vasta, tra le vittime persino 274 Macintosh collocati nella sede Apple a Cupertino, ma è stato già rilasciato il codice per tappare la falla.
Flashback si insinua nel sistema tramite una falla in Java dei browser internet Safari camuffato da estensione per Flash.
Da Cupertino la “patch” per risolvere il problema è arrivata quasi subito, i pericoli per gli utenti italiani sono davvero pochi dato che il 57% delle macchine infette è negli Usa, il 20% in Canada, mentre in Italia si stima un trascurabile 0,3% (circa 2000 utenti) di macchine collegate alla Botnet di Flashback.
Ecco la guida alla rimozione del malware come redatta da F-Secure.
1 – Aprire il terminale e digitare “defaults read /Applications/Safari.app/Contents/Info LSEnvironment”
2 – Prendere nota dei codici DYLD_INSERT_LIBRARIES e premere nuovamente invio
3 – Se si riceve un messaggio d’errore simile a “The domain/default pair of (/Applications/Safari.app/Contents/Info, LSEnvironment) does not exist” non si è infetti.
4 – Se i file vengono effettivamente trovati, digitare “grep -a -o ‘__ldpath__[ -~]*’ %percorso_del_punto_2% ” e prendere nota del valore di fianco a “__ldpath__”
5 – Eseguire i comandi “sudo defaults delete /Applications/Safari.app/Contents/Info LSEnvironment” e “sudo chmod 644 /Applications/Safari.app/Contents/Info.plist”, cancellando poi i file trovati nel secondo punto e nel quarto.
6 – Eseguire il comando “defaults read ~/.MacOSX/environment DYLD_INSERT_LIBRARIES” e, se si riceve un messaggio come “The domain/default pair of (/Users/joe/.MacOSX/environment, DYLD_INSERT_LIBRARIES) does not exist” il trojan è stato correttamente rimosso. In caso contrario, eseguire nuovamente “grep -a -o ‘__ldpath__[ -~]*’ %percorso_del_punto 4% “, prendendo nota dei valori.
7 – Dopo aver eseguito “defaults delete ~/.MacOSX/environment DYLD_INSERT_LIBRARIES launchctl unsetenv DYLD_INSERT_LIBRARIES”, cancellare i file indicati nei punti precedenti.