Sicherheitsforscher haben eine neue hochentwickelte Schadsoftware für den Mac namens CrashStealer identifiziert.
Der Infostealer zielte darauf ab, Passwörter, Browserdaten, Krypto-Wallets und Zugangsdaten von Passwortmanagern wie 1Password zu entwenden. Besonders tückisch: Die Kampagne nutzte eine von Apple signierte Kollaborations-App namens „Werkbit“, um die Gatekeeper-Barrieren von macOS zu umgehen.
Apple hat betroffene Zertifikate bereits gesperrt
Erst nach dem Start lädt dieses Scheinprogramm im Hintergrund die eigentliche Schadsoftware nach, die sich als legitimer Systemdienst getarnt in versteckten Verzeichnissen einnistet. Apple hat die betroffenen Entwickler-Zertifikate nach Bekanntwerden umgehend gesperrt.
Um an die sensibelsten Daten der Opfer zu gelangen, setzt CrashStealer auf Social Engineering und die aktive Mithilfe der Nutzer. Die Schadsoftware blendet ein täuschend echt aussehendes, macOS-typisches Anmeldefenster ein und fordert zur Passworteingabe auf.
Das eingegebene Kennwort wird lokal über ein legitimes Apple-Systemtool auf Korrektheit geprüft – erst bei einem Treffer wird der Login-Schlüsselbund des Macs geknackt und kopiert. Zudem fordert das Programm unter dem Vorwand der Systemadministration weitreichende Festplattenzugriffsrechte ein.
Reset nach Infizierung höchst umfangreich
Da sich der Trojaner tief im System verankert und bei jedem Neustart selbst mit einer neuen Signatur versieht, reicht das Löschen der Installationsdatei nicht aus. Nutzer, die das Programm ausgeführt und ihr Passwort eingegeben haben, müssen ihr System als vollständig kompromittiert betrachten, alle Passwörter sowie Krypto-Wallets über ein Zweitgerät ändern und den Mac komplett neu aufsetzen.
Hinweis: Artikel enthält Affiliate-Links. Was ist das? Foto: Pixabay