De besmette versie van de populaire Mac-app HandBrake, die begin mei enige dagen via de officiële website werd aangeboden, heeft ervoor gezorgd dat aanvallers broncode van softwarebedrijf Panic hebben kunnen stelen. Een medewerker van Panic, dat apps voor iOS en macOS ontwikkelt, installeerde de getrojaniseerde versie van HandBrake op zijn Mac, waardoor de aanvallers toegang tot zijn machine en uiteindelijk de broncode kregen.

Volgens het bedrijf zijn er geen klantgegevens buitgemaakt en is ook de webserver van Panic niet gecompromitteerd. De medewerker verklaart hoe hij de besmette versie had gedownload en vervolgens zijn beheerderswachtwoord invoerde, terwijl de app dit eerder niet vereiste. Ook negeerde hij naar eigen zeggen zonder na te denken de Gatekeeper-waarschuwing van macOS, aangezien hij een aantal apps draait die niet door de ontwikkelaar zijn gesigneerd. Gatekeeper is een beveiligingsmaatregel van macOS die voor niet-gesigneerde applicaties waarschuwt.

Toen het nieuws van de besmette HandBrake-app bekend werd hadden de aanvallers allerlei wachtwoorden gestolen en gebruikt om de broncode van Panic te stelen. Na ontdekking van de infectie werd de Mac buiten werking gesteld en alle wachtwoorden van de medewerker gewijzigd. Daarnaast werden alle relevante geheime sleutels binnen de infrastructuur gewijzigd. Hierna volgde het forensisch onderzoek. Uit de logbestanden bleek dat een deel van de broncode van het bedrijf en de persoonlijke informatie van de medewerker is buitgemaakt.

Dat de broncode was gestolen werd mede bevestigd door een e-mail van de aanvaller. Die eiste een bitcoinbedrag, anders zou hij de broncode vrijgeven. Panic stelt dat het niet van plan is om te betalen. Het bedrijf waarschuwt dat de aanvaller met de broncode illegale versies van de Panic-apps kan ontwikkelen, of versies met malware erin. Een andere optie is dat een concurrent de broncode zal gebruiken. Inmiddels heeft de FBI de zaak in onderzoek. Panic is de ontwikkelaar van onder andere het ftp-programma Transmit, de webontwikkel-app Coda en het spel Firewatch.