Push-Nachrichten von MacTechNews.de
Würden Sie gerne aktuelle Nachrichten aus der Apple-Welt direkt über Push-Nachrichten erhalten?

Malware für macOS kann Schlüsselbund, Crypto-Wallets und Browser-Daten auslesen

Momentan ist der Mac vor Viren und Malware recht gut geschützt. Dies liegt aber nicht nur an der Sicherheit der Plattform, sondern auch an der geringen Verbreitung: Entwickler konzentrieren sich aufgrund des größeren Marktanteils eher auf Windows im Client-Markt und auf Linux im Server-Umfeld. Doch Anwender sind nicht völlig geschützt: Es gibt auch Schadsoftware für den Mac – und aktuell wird eine solche Software über einen Telegram-Kanal zur Miete angeboten.


Sicherheitsforscher von Cyble sind auf eine neue Malware gestoßen: Atomic macOS Stealer, kurz AMOS. Der Entwickler verspricht eine kontinuierliche Weiterentwicklung, doch auch in der aktuellen Fassung ist der Funktionsumfang der hauptsächlich in Google Go geschriebenen Malware beeindruckend:


Schlüsselbund und Crypto-Wallets
Über eine gefälschte Passwort-Abfrage gelangt AMOS an das Benutzer-Passwort – und kann auf die Art und Weise die im Schlüsselbund abgelegte Passwörter abgreifen. Hierunter fallen unter anderem Login-Daten zu Webseiten, WLAN-Passwörter und Kreditkarten-Daten. Die Malware ist ferner in der Lage, lokal gesicherte Daten zu Crypto-Wallets wie Electrum, Finance, Exodus oder Atomic auszulesen und zu übermitteln. Hier untersucht AMOS installierte Wallet-Apps, aber auch Browser-Erweiterungen.

Browser-Informationen und Dateien
Daten von allen gängigen Browsern sind ebenfalls nicht sicher: AMOS kann die Daten von Safari, Chrome, Microsoft Edge, Brave, Yandex, Opera und Vivaldi auslesen und an den Angreifer übermitteln. Dieser erhält daraufhin viele sensible Informationen, wie zum Beispiel Autofill-Passwörter, Kreditkarten-Daten und Session-Cookies. AMOS ist auch an lokalen Dateien des Nutzers interessiert: Die Malware übermittelt automatisch den Inhalt des Dokumente-Ordners und des Schreibtischs an den Angreifer.

Mitwirken des Nutzers erforderlich
Die angebotene Malware ist allerdings auf die Mithilfe des Nutzers angewiesen: Die Installation erfolgt nämlich über ein DMG, welches dem Ziel untergeschoben werden muss. Dies geschieht oftmals über Webseiten, auf denen normalerweise kostenpflichtige Apps günstig oder umsonst zum Download angeboten werden. Anstelle der App erhält der Nutzer hier oftmals Malware, welche sich hinter Namen wie "Setup.dmg" oder "Updater.dmg" versteckt. Auf die Art und Weise soll das Ziel überlistet werden, das DMG zu mounten und die darauf befindliche App zu starten. Auch muss der Nutzer explizit sein Nutzer-Passwort eingeben, damit die Malware aktiv werden kann. Das Eingabeformular sieht allerdings dem Dialog aus macOS zum Verwechseln ähnlich, weswegen hier Vorsicht geboten ist.

Der Entwickler verlangt für den Einsatz der Malware ab 1.000 Dollar pro Monat. Die gesammelten Daten schickt AMOS an vorher festgelegte Telegram-Kanäle, um diese dem Angreifer zugänglich zu machen.

Kommentare

andreas_g
andreas_g01.05.23 11:22
Dass so etwas heute überhaupt noch als Malware bezeichnet wird? Mit dem Zutun des Nutzers, inklusive Passworteingabe, kann man logischerweise allen möglichen Unfug anstellen. Das ist wohl eher Phishing.
+19
Retrax01.05.23 11:36
andreas_g
Das ist wohl eher Phishing.

eben.
Gab es überhaupt jemals einen echten "Wurm" für Mac OS X / macOS?
+9
FlyingSloth
FlyingSloth01.05.23 12:22
Schlimmer noch. Thunderstrike2. Stealth Firmware Worm for Macs. Der absolute Albtraum, da sich Thunderstrike auf Firmwareebene festsetzt und somit von Scannern unbemerkt bleibt.
Retrax
andreas_g
Das ist wohl eher Phishing.
eben.
Gab es überhaupt jemals einen echten "Wurm" für Mac OS X / macOS?
Fly it like you stole it...
+3
Mendel Kucharzeck
Mendel Kucharzeck01.05.23 12:46
andreas_g
Malware ist eher ein Überbegriff für Schadsoftware:

Außerdem: Für dich als versierten Nutzer ist das leicht zu erkennen, dass es sich um Schadsoftware handelt. Nur für weniger IT-affine Anwender ist das ziemlich gefährlich, da offiziell klingende Namen gewählt werden und die Passwort-Eingabe genau so ausschaut wie von macOS.
+14
iQuaser
iQuaser01.05.23 15:51
Wenn man Software per dmg installieren will, muss man admin-Namen und Passwort eingeben.
Allerdings checkt Gatekeeper das dmg auch. Und wenn es nicht von einem zertifizierten Entwickler ist, muss man es noch in den SystemeinstellungenSicherheit freigeben. Schon viel Arbeit, bis die Malware läuft.
+7
X-Jo01.05.23 16:00
Mendel Kucharzeck
[…] und die Passwort-Eingabe genau so ausschaut wie von macOS.
Habe mich schon immer gefragt, warum man (Apple) die Passwort-Eingabe nicht irgendwie fälschungssicher machen kann, z. B. via Zertifikaten. So könnte man, wie bei den URLs im Browser feststellen, von wem die Passwort-Abfrage wirklich kommt.
Wäre so was nicht realisierbar?
+2
Mendel Kucharzeck
Mendel Kucharzeck01.05.23 17:39
X-Jo
Naja, alles was am Bildschirm angezeigt wird, können Apps grundsätzlich auch anzeigen. Was hindert einen Entwickler daran, den Dialog genau gleich anzuzeigen (z.B. mit grünem Haken) wie das System?

Die einzige Möglichkeit, die mir einfällt, wäre, Entwickler zu verbieten, in bestimmte Bereiche des Bildschirms zu zeichnen. z.B. könnte Apple vielleicht den Apfel in der Menüleiste Rot oder Grün einfärben, wenn eine echte Passwort-Nachfrage gezeigt wird. Dazu müsste Apple es Entwicklern verbieten, hierüber ein Fenster zu legen, um dies nachzumachen.

Eine weitere Idee wäre, z.B. die Lampe der Web-Cam kurz blinken zu lassen –auch das können Angreifer schwerlich nachmachen.
+5
morpheus
morpheus01.05.23 18:28
Apple Macs sind keine PCs 😉
Coffee is always the solution
-7
MacMichael01.05.23 18:52
Wie kann man prüfen, ob man sich den Kram eingefangen hat?
+2
MacMichael01.05.23 18:53
Mendel Kucharzeck
X-Jo
Naja, alles was am Bildschirm angezeigt wird, können Apps grundsätzlich auch anzeigen. Was hindert einen Entwickler daran, den Dialog genau gleich anzuzeigen (z.B. mit grünem Haken) wie das System?

Die einzige Möglichkeit, die mir einfällt, wäre, Entwickler zu verbieten, in bestimmte Bereiche des Bildschirms zu zeichnen. z.B. könnte Apple vielleicht den Apfel in der Menüleiste Rot oder Grün einfärben, wenn eine echte Passwort-Nachfrage gezeigt wird. Dazu müsste Apple es Entwicklern verbieten, hierüber ein Fenster zu legen, um dies nachzumachen.

Eine weitere Idee wäre, z.B. die Lampe der Web-Cam kurz blinken zu lassen –auch das können Angreifer schwerlich nachmachen.

Kann man solche Ideen nicht Apple vorschlagen? Ich finde das super.
0
gritsch01.05.23 20:09
MacMichael
Kann man solche Ideen nicht Apple vorschlagen? Ich finde das super.

Keine Sorge, diese und weitere Ideen sind nichts was die Mitarbeiter bei Apple nicht hat. Nur hat sich Apple wohl dagegen entschieden weil genau die User die auf solche Software reinfallen, die gleichen sind die solche feinen Eigenheiten nicht wissen/beachten würden.
+2
X-Jo01.05.23 20:10
Mendel Kucharzeck
X-Jo
Naja, alles was am Bildschirm angezeigt wird, können Apps grundsätzlich auch anzeigen. Was hindert einen Entwickler daran, den Dialog genau gleich anzuzeigen (z.B. mit grünem Haken) wie das System?
[…]
Ja, stimmt. Auch die Anzeige eines Zertifikates liesse sich originalgetreu nachbauen.
Das scheint doch ziemlich aufwändig zu sein, sonst würde es einen fälschungssicheren Dialog wohl schon geben.
+2
FlyingSloth
FlyingSloth02.05.23 08:06
Gibts noch andere Macs ausser von Apple, auf welchen OSX laeuft?
morpheus
Apple Macs sind keine PCs 😉
Fly it like you stole it...
0
Hotzenplotz2
Hotzenplotz202.05.23 10:17
FlyingSloth
Gibts noch andere Macs ausser von Apple, auf welchen OSX laeuft?
morpheus
Apple Macs sind keine PCs 😉
Ja, Mitte der 90iger gab es mal Clones, die offiziell MacOS laufen lassen durften.
Die sahen dann aber auch wirklich wie ein (damaliger) PC aus.
-2

Kommentieren

Sie müssen sich einloggen, um die News kommentieren zu können.