Trojan Flashback su Mac: come verificare e cosa resta da imparare

Nella primavera del 2012 una cifra attraversò la rete e cambiò il modo di parlare di sicurezza su Mac: oltre seicentomila computer infetti, la maggior parte senza saperlo. Era Flashback, il malware che ruppe l'equazione «il Mac non si ammala». A distanza di anni, rileggere quella storia non è nostalgia: è il modo più chiaro per capire perché certi meccanismi di infezione funzionano ancora oggi, mutati di veste ma identici nella logica.

Cronologia di un'infezione silenziosa

Flashback nacque nell'autunno del 2011 come truffa da social engineering: falsi installatori di Flash Player che chiedevano la password dell'amministratore. Poco dopo arrivò la variante davvero efficace: uno sfruttamento di una vulnerabilità di Java che infettava il sistema senza chiedere nulla, basta visitare una pagina compromessa. A inizio 2012 le stime parlavano di centinaia di migliaia di Mac aggregati in una rete silenziosa, capace di intercettare ricerche e generare profitti pubblicitari. L'intervento arrivò in più tempi: la correzione di Java, poi gli strumenti automatici di rimozione distribuiti con gli aggiornamenti di sistema.

Come si verificava l'infezione

Nel 2012 il controllo si faceva a mano: un comando nel Terminale che cercava i segni lasciati dal payload nelle librerie Java dell'utente. Se la risposta era pulita, si tirava un respiro; altrimenti si seguivano le guide di rimozione o si usavano gli strumenti delle società di sicurezza, presto distribuiti anche via Software Update. Quel gesto manuale (il controllo dal Terminale) oggi non serve più, ma la lezione metodologica resta: i sistemi moderni verificano da soli, con definizioni aggiornate di malware e verifiche di notarizzazione dei file, e il sospetto si investiga con gli strumenti giusti piuttosto che con i comandi copiati da un forum.

Perché colpì proprio i Mac

Per tre ragioni che si sommarono. La percezione di invulnerabilità: anni di retorica «virus-free» avevano abbassato le difese culturali più di quelle tecniche. La posizione di Java: il runtime era allora aggiornato da Apple con ritardi rispetto a Oracle, e la finestra di esposizione si allargava. La crescita della quota di mercato: quando una piattaforma diventa interessante, l'economia del malware la scopre. Nessuna magia, nessuna eccezione: solo convenienza per chi attacca.

Le lezioni che restano

• I runtime di terzi sono il primo bersaglio: Java nel browser oggi è storia, ma il principio vale per qualunque plug-in e ambiente eseguibile che il sistema aggiorna lentamente.
• Il falso installatore non è mai morto: la variante social engineering di Flashback è il modello di ogni «download gratis» di software a pagamento, tema che rivisitiamo nella guida alle suite per ufficio gratuite.
• Le difese si aggiornano, la vigilanza no: XProtect, Gatekeeper e la notarietà delle app formano oggi un filtro solido, ma funzionano sulle minacce note.
• Privilegi minimi: usare l'account amministratore solo quando serve limita il danno di qualunque esecuzione.
• Backup testati: davanti al dubbio serio, la domanda decisiva è sempre «quanto è vecchio il mio ultimo backup?».

Il protocollo di verifica oggi

Un Mac sano si riconosce così: aggiornamenti di sicurezza installati prontamente; poche app, da canali ufficiali; attenzione alle richieste di password fuori contesto; e, la verifica più istruttiva che esista, uno sguardo periodico alle connessioni in uscita, per capire chi parla e verso dove. È ciò che permette un firewall applicativo come Little Snitch, che trattiamo in una guida dedicata. E se il sospetto riguarda il sito più che il computer, il protocollo da seguire è quello spiegato per gli account di hosting compromessi.