Viele Nutzer kennen die nervige Werbung im Web-Browser, welche zur Installation eines Flash-Player-Updates auffordert. Doch hier handelt es sich nicht um den (mittlerweile eingestellten) Flash-Player von Adobe, sondern um Malware. Apple führte daher einen Prozess namens "Notarization" ein, über welchen Mac-Apps signiert werden, welche Entwickler außerhalb des Mac App Stores vertreiben.


Anders als im Mac App Store untersucht Apple hier die Apps nur auf Malware und Viren – sogar die Nutzung von privaten Programmierschnittstellen ist momentan noch gestattet. Im Mac App Store hingegen müssen sich Entwickler an Apples strenge Vorgaben halten und obendrein 30 Prozent des Umsatzes an Apple abgeben.

Automatischer Scan schlägt nicht an
Die Sicherheitsforscher Peter Dantini und Patrick Wardle machten einen kuriosen Fund: In freier Wildbahn fanden sie ein gefälschtes Flash-Update mit Malware – aber vollständig signiert und notarisiert. Offenbar konnten die Autoren der Malware Apples Prozess überwinden und erhielten eine vollständig signierte und notarisierte App mit Malware. Die Sicherheitsforscher glauben, dass dies das erste Mal ist, dass Apple fälschlicherweise Malware signierte – bisher ist zumindest kein solcher Fall bekannt geworden.

Apples Antwort
Apples Antwort auf das Ergebnis der Sicherheitsforscher ließ nicht lange auf sich warten: Apple merkt an, dass sich Malware und Viren stetig verändern – und Apple den Notarisierungsprozess entsprechend anpasst. Als Apple von der Bedrohung erfuhr, legte man die App sofort still, machte die Zertifikate ungültig und sperrte das betreffende Entwicklerkonto. Ferner bedankte sich Apple bei den Sicherheitsforschern für die Kooperation.

Sperre möglich
Durch den Notarisierungsprozess ist es Apple glücklicherweise möglich, einzelne Apps und App-Updates aus der Ferne zu Sperren, um Schlimmeres zu verhindern. Vormals blockierte Apple derartige Malware mittels "XProtect" – eine lokale, in macOS integrierte Sicherheitssoftware von Apple.

Flash-Player beinhaltete "Shlayer"
Die notarisierte Malware enthielt die Schadsoftware "Shlayer" – hierbei handelt es sich genauer gesagt um "Adware". Diese klinkt sich in Netzwerkverbindungen ein, analysiert den Inhalt und platziert beispielsweise Werbung sowie veränderte Suchergebnisse auf den aufgerufenen Seiten. Hier verdienen die Autoren Geld, da die Anzeigen von "Shlayer" eingeblendet werden und nicht die der eigentlichen Webseite.