No início do ano já tinha surgido um malware semelhante a este, o Thunderstrike que permitia infetar Macs através da ligação de um dispositivo Thunderbolt infetado. No entanto, o método de ataque era pouco perigoso porque requeria o acesso físico ao computador a infetar. Porém, a versão 2 do mesmo malware, o Thunderstrike 2, permite infetar Macs remotamente e de forma irreversível.
O Thunderstrike 2 pode infectar o firmware (EFI) dos Mac, e neste caso a forma de transmissão deixa de requerer uma presença física do atacante e passa a ser feita com recurso a qualquer periférico externo que possa ser ligado a estes computadores, nomeadamente os dispositivos Thunderbolt.
Este malware infeta os Mac a partir de qualquer outro dispositivo que tenha presente uma option ROM e que esteja ligado ao equipamento. Esta option ROM armazena o malware até infetar um qualquer Mac ao qual se liga.
Adaptador Ethernet/Thunderbolt Apple com option ROM (Fonte:goo.gl/piHEsW)
O maior problema do Thunderstrike 2 é o facto de correr e se alojar na EFI, ou seja, antes do sistema operativo ser lançado. É ainda um problema pois não existem, ainda, softwares que façam a detecção deste tipo de problemas nas EFI, correndo assim sem qualquer controlo do utilizador e de forma silenciosa.
Para além disso não existe também forma simples de o remover. Mesmo com a reinstalação do sistema operativo ou a troca de disco o Thunderstrike 2 mantêm-se presente no Mac.
Os criados criaram um vídeo a explicar o mecanismo de infeção, veja abaixo.
Fonte: Pplware e Youtube (LegbaCore)