macOS-Trojaner-Upgrade: Verbreitung durch getarnte signierte Anwendungen, Krypto-Nutzer stehen vor noch verdeckteren Risiken

BlockBeats Nachrichten, am 23. Dezember teilte der Chief Information Security Officer von SlowMist, 23pds, mit, dass die auf macOS aktive MacSync Stealer Malware eine deutliche Weiterentwicklung erfahren hat und bereits Benutzervermögen gestohlen wurden. In dem von ihm weitergeleiteten Artikel wird erwähnt, dass die Malware von frühen Methoden wie „Drag & Drop ins Terminal“ oder „ClickFix“ mit niedriger Einstiegshürde auf signierte und durch Apple notarisierte Swift-Anwendungen aufgerüstet wurde, was die Tarnung erheblich verbessert.

Forscher entdeckten, dass dieses Sample in Form eines Disk-Images mit dem Namen zk-call-messenger-installer-3.9.2-lts.dmg verbreitet wird und sich als Instant-Messaging- oder Tool-Anwendung tarnt, um Benutzer zum Download zu verleiten. Anders als zuvor benötigt die neue Version keinerlei Terminal-Interaktion durch den Benutzer, sondern ein integriertes Swift-Hilfsprogramm lädt und führt kodierte Skripte von einem Remote-Server aus, um den Informationsdiebstahlprozess abzuschließen.

Das bösartige Programm ist bereits signiert und durch Apple notariell beglaubigt, die Entwicklerteam-ID lautet GNJLS3UYZ4, und der zugehörige Hash wurde zum Zeitpunkt der Analyse noch nicht von Apple widerrufen. Das bedeutet, dass es unter den Standard-Sicherheitsmechanismen von macOS eine höhere „Vertrauenswürdigkeit“ besitzt und leichter die Wachsamkeit der Nutzer umgeht. Die Forschung zeigte außerdem, dass das DMG ungewöhnlich groß ist und als Köderdateien unter anderem LibreOffice-bezogene PDFs enthält, um das Misstrauen weiter zu verringern.

Sicherheitsforscher weisen darauf hin, dass solche Informationsdiebstahl-Trojaner häufig Browserdaten, Kontozugangsdaten und Informationen zu Krypto-Wallets als Hauptziele haben. Da Malware zunehmend systematisch Apples Signatur- und Notarisierungsmechanismen missbraucht, steigt das Risiko von Phishing und Private-Key-Leaks für Krypto-Asset-Nutzer in der macOS-Umgebung.