CrashStealer: macOS-Malware täuscht Systemdialog nach

Die Schadsoftware CrashStealer tarnt sich als Systemdialog und stiehlt Passwörter sowie Krypto-Daten. Apple hat die Zertifikate widerrufen.

Sicherheitsforscher von Jamf Threat Labs entdeckten die Schadsoftware, die mit einem gültigen Apple-Zertifikat signiert war und so die Gatekeeper-Sperre umging.

Tarnung als offizieller Absturzbericht

Die Malware verbreitet sich über ein Installationsprogramm namens „Werkbit Setup“. Ursprünglich als legitime Meeting-App beworben, war die Software mit einem gültigen Apple-Entwicklerzertifikat notarisiert. Das Besondere: CrashStealer konnte die Gatekeeper-Sicherheitsfunktion ohne Warnhinweise passieren.

Einmal auf dem System aktiv, imitiert die Malware die Optik des offiziellen Apple-Dienstes für Absturzberichte. Ein täuschend echter Systemdialog fordert den Nutzer zur Eingabe seines Administrator-Passworts auf. Gibt das Opfer nach, erhält die Schadsoftware Zugriff auf tiefgreifende Systemressourcen.

Gezielter Zugriff auf Passwortmanager und Krypto-Wallets

Anzeige

Der Fall CrashStealer zeigt eindrucksvoll, wie Hacker gezielt psychologische Schwachstellen ausnutzen, um an sensible Passwörter und Firmendaten zu gelangen. In diesem kostenlosen Anti-Phishing-Paket erfahren Sie, wie Sie solche manipulativen Taktiken rechtzeitig entlarven. In 4 Schritten zur erfolgreichen Hacker-Abwehr

CrashStealer ist auf die Exfiltration sensibler Zugangsdaten spezialisiert. Die Malware zielt auf den macOS-Schlüsselbund (Keychain), Browserdaten und Dokumente ab. Besonders im Fokus: 14 verschiedene Passwortmanager, darunter 1Password, Bitwarden, LastPass, Dashlane und Keeper.

Zusätzlich verfügt die Schadsoftware über Routinen zum Diebstahl von Krypto-Assets. Die Experten identifizierten Funktionen, die gezielt rund 80 verschiedene Erweiterungen für Krypto-Wallets auslesen. Die gestohlenen Daten werden vor dem Versand an die Server der Hintermänner mit AES-256-GCM verschlüsselt.

Apple reagiert umgehend

Auf die Entdeckung der Kampagne widerrief Apple die beteiligten Signaturzertifikate sowie die zugehörige Entwickler-ID. Damit ist die Ausführung der bekannten Malware-Varianten blockiert.

Anzeige

Da Cyber-Bedrohungen immer komplexer werden und sogar offizielle Sicherheitsmechanismen umgehen, müssen Unternehmen ihre IT-Strategie proaktiv anpassen. Dieser Gratis-Report klärt auf, welche neuen rechtlichen Pflichten und technischen Schutzmaßnahmen für Unternehmer jetzt unverzichtbar sind. Kostenloses Cyber-Security E-Book herunterladen

Sicherheitsexperten raten macOS-Anwendern zu erhöhter Vorsicht bei unerwarteten Passwortabfragen. Da die Malware Gatekeeper durch die Notarisierung überwinden konnte, reicht Vertrauen in signierte Software allein nicht aus. Nutzer sollten Anwendungen nur aus verifizierten Quellen beziehen und bei Systemdialogen kritisch prüfen, ob der Kontext plausibel ist.

Wachsendes Interesse an macOS

Neben CrashStealer wurden in den letzten Wochen weitere Kampagnen beobachtet. Der „MacSync Stealer“ etwa verbreitete sich über präparierte Suchanzeigen und Chat-Funktionen. Auch hier standen der Schlüsselbund und Zugangsdaten für Cloud-Dienste im Fokus. Die Häufung dieser Vorfälle deutet auf ein wachsendes Interesse professioneller Akteure an der macOS-Plattform hin.