Zusammenfassung zeigen Zusammenfassung verbergen
Eine neue Mac‑Malware tarnt sich als Apples CrashReporter und sammelt gezielt Zugangsdaten: Sicherheitsforscher von Jamf fanden die Schadsoftware, die Passwörter und Krypto‑Schlüssel abgreift und offenbar selektiv vorgeht. Nutzer sollten jetzt prüfen, welche Anwendungen Zugriffsrechte haben und ob unbekannte Programme Administrator‑Berechtigungen erhalten haben.
Wie CrashStealer an sensible Daten kommt
Der Schädling—den Experten als CrashStealer bezeichnen—sucht systematisch nach wertvollen Informationen. Er greift Daten aus mehreren Passwortmanagern ab, liest Inhalte aus dem Schlüsselbund aus und versucht, Zugriff auf lokale Krypto‑Wallets zu erlangen.
qobuz aktualisiert app: songtexte jetzt verfügbar
EA Sports FC 27 Trailerpremiere mit Kylian Mbappé heute live: Uhrzeit und erste Details
Darüber hinaus durchforstet die Malware Nutzerordner wie „Dokumente“ und „Downloads“ nach relevanten Dateien. Gefundene Daten werden lokal verschlüsselt (unter anderem mit AES‑GCM) und anschließend an einen Command‑and‑Control‑Server übertragen. Die native C++‑Umsetzung und die clientseitige Verschlüsselung heben CrashStealer technisch von vielen bisherigen macOS‑Infostealern ab und erhöhen die Gefahr, dass weitere bösartige Module nachgeladen werden.
Verbreitung über eine fingierte Meeting‑App
Sicherheitsforscher entdeckten die Schadsoftware in einer über das Web angebotenen Anwendung mit dem Namen „Werkbit“, die sich als Konferenztool ausgibt. Die falsche App war zunächst mit einem legitimen Apple‑Entwicklerzertifikat signiert, wodurch normale Warnmeldungen beim Start ausblieben.
Nachdem Jamf den Vorfall meldete, deaktivierte Apple die betreffende Developer‑Team‑ID. Trotzdem zeigt dieser Fall, wie Angreifer Zertifikate missbrauchen können, um Vertrauen zu erzeugen. Laut Analyse versucht der Installer außerdem, die Prüfung durch Gatekeeper zu umgehen, Apples Mechanismus zur Verifikation von Drittsoftware.
Ablauf des Angriffs auf dem Gerät
Im Kern installiert CrashStealer eine gefälschte Version des CrashReporters—des Systems, das normalerweise Absturzberichte anzeigt. Beim ersten Start fordert die Anwendung vollständigen Festplattenzugriff sowie ein Administratorpasswort; erst nach dieser Autorisierung kann sie im Hintergrund Schlüssel und Dateien auslesen.
Jamf beschreibt die Implementierung als besonders unauffällig und schwerer erkennbar als bei vielen anderen Infostealern. Erste Hinweise auf die Malware tauchten bereits im Mai auf, aktive Installationen beobachteten die Analysten noch im Juli. Auffällig ist, dass die gefälschte App offenbar nur mit einem vorab bekannten PIN‑Code startet, was auf gezielte Angriffe gegen bestimmte Personen oder Organisationen hindeutet.
Was Nutzer jetzt tun sollten
- Prüfen Sie in den Systemeinstellungen unter „Sicherheit & Datenschutz“ welche Apps vollständigen Festplattenzugriff oder andere hohe Berechtigungen besitzen und entziehen Sie unbekannten Programmen diese Rechte.
- Entfernen Sie unvertraute, kürzlich installierte Anwendungen und prüfen Sie die Signatur: Apps ohne gültige Developer‑ID oder Notarisierung sollten misstrauisch machen.
- Ändern Sie Passwörter kritischer Konten und aktivieren Sie, wo möglich, Zwei‑Faktor‑Authentifizierung.
- Untersuchen Sie das Schlüsselbund auf Einträge, die unerwartet Zugriffsrechte an Anwendungen erteilen.
- In Unternehmensumgebungen: Führen Sie einen Endpoint‑Scan durch, prüfen Sie Gatekeeper‑ und MDM‑Logs und informieren Sie die IT‑Sicherheit.
- Halten Sie macOS und Sicherheitssoftware aktuell — viele Schutzmechanismen verbessern sich mit Updates.
Für Privatpersonen wie für Firmen gilt: Die Malware ist kein Massenangriff im klassischen Sinne, sondern wirkt zielgerichtet. Das erhöht das Risiko für Nutzer mit sensiblen Daten, insbesondere für Personen, die Passwortmanager oder Krypto‑Wallets verwenden. Organisationen mit Mac‑Beständen sollten ihre Zugriffsrechte und Installationsprozesse überprüfen und verdächtige Aktivitäten zeitnah untersuchen.
Jamfs Bericht und Apples Reaktion (Deaktivierung der Developer‑Team‑ID) zeigen, dass die Bedrohung aktiv ist und sich weiterentwickeln kann. Nutzer sollten sorgfältig abwägen, welche Anwendungen sie installieren und welche Berechtigungen sie erteilen—und im Zweifel professionelle Hilfe hinzuziehen.
