Aktuell wird eine neuartige macOS-Malware verbreitet, die versucht, sich als Apples CrashReproter zu tarnen. Das berichtet das Sicherheitsteam des MDM-Spezialisten Jamf. Der \u201eCrashStealer\u201c getaufte Datensch\u00e4dling ist ein klassischer Infostealer, versucht unter anderem, Daten zahlreicher bekannter Passwortmanager, das Apple-Schl\u00fcsselbund sowie Passw\u00f6rter und Infos von Krypto-Wallets auf dem Mac abzugreifen. Au\u00dferdem gibt es eine integrierte Suchroutine, so Jamf, die die Dokumente- und Download-Ordner nach \u201eInteressantem\u201c durchsucht.<\/p>\n
Weiterlesen nach der Anzeige<\/p>\n
Wichtige Daten klauen und verschl\u00fcsseln<\/p>\n
Die Entwickler gehen dabei recht geschickt vor: Sie verschl\u00fcsseln die geklauten Dateien mittels AES-GCM und exfiltrieren sie dann via libcurl zu einem Command-and-Control-Server. Das Vorgehen erinnert an andere bekannte macOS-Infostealer wie Atomic, die native C++-Implementierung der Malware samt der Client-seitigen Verschl\u00fcsselung machten CrashStealer aber zu einer eigenen Datensch\u00e4dlingsfamilie, so Jamf. Entdeckt wurde CrashStealer in einer via Web vertriebenen App namens Werkbit, die sich Nutzern als Meeting-Werkzeug verkauft, aber nichts mit einer gleichnamigen deutschen Software f\u00fcr den Mittelstand zu tun hat.<\/p>\n
Die Fake-Werkbit-App soll zun\u00e4chst \u00fcber ein Apple-Zertifikat verf\u00fcgt haben, die entsprechende \u201eDeveloper Team ID\u201c wurde von Apple mittlerweile jedoch deaktiviert, nachdem Jamf den Sch\u00e4dling gemeldet hatte. Dass Malware mit einer legitimen Developer-ID<\/a> ausgestattet ist, passiert leider immer wieder<\/a>. Damit gibt es dann beim Ausf\u00fchren der Software keine Warnung. Allerdings versucht der Installer auch, um diese Gatekeeper-Verifizierung herumzukommen und nutzt Social Engineering, um Nutzer dazu zu bewegen, die App per Rechtsklick auszuf\u00fchren \u2013 eine Methode, die Apple immer schwerer macht. Allerdings w\u00e4re die Ma\u00dfnahme hier gar nicht notwendig gewesen, da das Zertifikat ja bestand.<\/p>\n M\u00f6glicherweise f\u00fcr gezielte Angriffe<\/p>\n Um an Daten zu gelangen, installiert CrashStealer parallel noch eine falsche CrashReporter-App, die so tut, als sei sie Apples CrashReporter, der bei Abst\u00fcrzen auftaucht. Beim ersten Start verlangt die Fake-Anwendung vom Nutzer, ihr vollen SSD-Zugriff zu erteilen sowie ein Administratorpasswort einzugeben. Danach wird auf das Schl\u00fcsselbund zugegriffen und der Diebstahl beginnt. Jamf warnt davor, dass die Malware insgesamt sehr \u201esneaky\u201c implementiert wurde \u2013 und schwerer erkennbar sei als \u00fcbliche Infostealer. Erste Hinweise kursierten seit Mai, aktive Installationen entdeckte Jamf noch im Juli.<\/p>\n \u00dcber die genauen Verbreitungswege ist wenig bekannt. Denkbar ist auch, dass die Anwendung f\u00fcr gezielte Angriffe auf bestimmte Personen gedacht war. Das falsche Werkbit verlangte n\u00e4mlich eine \u201eMeeting-ID\u201c in Form einer PIN, bevor die Installation begann. Der Infektionsprozess w\u00e4re wie folgt verlaufen: Ein Opfer bekommt eine Einladung f\u00fcr ein Meeting samt PIN, in der zum Download aufgerufen wird. Nach der Installation beginnt dann der Diebstahl.<\/p>\n Weiterlesen nach der Anzeige<\/p>\n Empfohlener redaktioneller Inhalt<\/p>\n \n Mit Ihrer Zustimmung wird hier ein externer Preisvergleich (heise Preisvergleich) geladen.\n <\/p>\n Preisvergleich jetzt laden\n <\/p>\n