Apple-Tool nachgemacht: So geht die neue macOS-Malware CrashStealer vor

Aktuell wird eine neuartige macOS-Malware verbreitet, die versucht, sich als Apples CrashReproter zu tarnen. Das berichtet das Sicherheitsteam des MDM-Spezialisten Jamf. Der „CrashStealer“ getaufte Datenschädling ist ein klassischer Infostealer, versucht unter anderem, Daten zahlreicher bekannter Passwortmanager, das Apple-Schlüsselbund sowie Passwörter und Infos von Krypto-Wallets auf dem Mac abzugreifen. Außerdem gibt es eine integrierte Suchroutine, so Jamf, die die Dokumente- und Download-Ordner nach „Interessantem“ durchsucht. Weiterlesen nach der Anzeige Die Entwickler gehen dabei recht geschickt vor: Sie verschlüsseln die geklauten Dateien mittels AES-GCM und exfiltrieren sie dann via libcurl zu einem Command-and-Control-Server. Das Vorgehen erinnert an andere bekannte macOS-Infostealer wie Atomic, die native C++-Implementierung der Malware samt der Client-seitigen Verschlüsselung machten CrashStealer aber zu einer eigenen Datenschädlingsfamilie, so Jamf. Entdeckt wurde CrashStealer in einer via Web vertriebenen App namens Werkbit, die sich Nutzern als Meeting-Werkzeug verkauft, aber nichts mit einer gleichnamigen deutschen Software für den Mittelstand zu tun hat. Die Fake-Werkbit-App soll zunächst über ein Apple-Zertifikat verfügt haben, die entsprechende „Developer Team ID“ wurde von Apple mittlerweile jedoch deaktiviert, nachdem Jamf den Schädling gemeldet hatte. Dass Malware mit einer legitimen Developer-ID ausgestattet ist, passiert leider immer wieder. Damit gibt es dann beim Ausführen der Software keine Warnung. Allerdings versucht der Installer auch, um diese Gatekeeper-Verifizierung herumzukommen und nutzt Social Engineering, um Nutzer dazu zu bewegen, die App per Rechtsklick auszuführen – eine Methode, die Apple immer schwerer macht. Allerdings wäre die Maßnahme hier gar nicht notwendig gewesen, da das Zertifikat ja bestand. Möglicherweise für gezielte Angriffe Um an Daten zu gelangen, installiert CrashStealer parallel noch eine falsche CrashReporter-App, die so tut, als sei sie Apples CrashReporter, der bei Abstürzen auftaucht. Beim ersten Start verlangt die Fake-Anwendung vom Nutzer, ihr vollen SSD-Zugriff zu erteilen sowie ein Administratorpasswort einzugeben. Danach wird auf das Schlüsselbund zugegriffen und der Diebstahl beginnt. Jamf warnt davor, dass die Malware insgesamt sehr „sneaky“ implementiert wurde – und schwerer erkennbar sei als übliche Infostealer. Erste Hinweise kursierten seit Mai, aktive Installationen entdeckte Jamf noch im Juli. Über die genauen Verbreitungswege ist wenig bekannt. Denkbar ist auch, dass die Anwendung für gezielte Angriffe auf bestimmte Personen gedacht war. Das falsche Werkbit verlangte nämlich eine „Meeting-ID“ in Form einer PIN, bevor die Installation begann. Der Infektionsprozess wäre wie folgt verlaufen: Ein Opfer bekommt eine Einladung für ein Meeting samt PIN, in der zum Download aufgerufen wird. Nach der Installation beginnt dann der Diebstahl. Weiterlesen nach der Anzeige Empfohlener redaktioneller Inhalt Mit Ihrer Zustimmung wird hier ein externer Preisvergleich (heise Preisvergleich) geladen.