DNS - Hijacker für macOS bringt Malware und Zugriff aufs System

[Jan Gruber]

DNS - Hijacker für macOS bringt Malware und Zugriff aufs System

Malware ist eine der Plagen der Computer Welt, die sonst eher PC Nutzer kennen. Mit DNS - Hijacker ist jetzt aber eine neue Software im Umlauf, die macOS ins Visier nimmt - und dort erhebliche Eingriffe ins System erlaubt. Neben der Umleitung des Internet-Verkehrs wird auch ein Root Zertifikat installiert.

Gefunden wurde der DNS - Hijacker vom Sicherheitsforscher Patrick Wardle. Die Software installiert ein eigenes Root-Zertifikat und leitet den Internetverkehr anschließend um. Zudem muss das Root-Passwort während der Installation eingegeben werden. Nach der Installation werden alle DNS Anfragen an den Server der Malwarebetreiber gesendet. Damit wird ein sog. Man-in-the-Middle Angriff ermöglicht, der Server kann den Verkehr auf eigene Webseiten umleiten und so beispielsweise Passwörter abgreifen.
DNS - Hijacker kontrolliert auch Up- und Downloads


Der Hijacker kann aber noch mehr - beispielsweise Screenshots aufzeichnen und Maus-Events auslösen. Die Malware kann Dateien herunterladen, aber auch die aufgezeichneten Daten hochladen. Laut Wardle nutzt aktuell kein Tool diese Malware, vielleicht wurde diese aber auch mittlerweile angepasst.
DNS - Hijacker - Prüfen und Deinstallieren


Ob euer System betroffen ist, könnt ihr einfach in den Netzwerkeinstellungen prüfen. Die Malware trägt die DNS-Server 82.163.143.135 und 82.163.142.137 dort ein. Das Root-Zertifikat findet ihr im Schlüsselbund unter dem Eintrag "cloudguard.me". Die Einträge könnt ihr per Hand löschen. Im Zweifel empfiehlt sich die Neuinstallation von macOS.

Via 9to5Mac

 

[u0679]

Wie gelangt die Malware denn auf den Mac?

 

[ottomane]

Man muss bewusst eine Software aus unsicherer Quelle installieren.

Ob man befallen ist, kann man sehr einfach am Terminal prüfen:

scutil --dns | grep "82.163.143.135"

So lange da keine Ausgabe kommt, ist alles in Butter.

Falls da eine Ausgabe kommt, hat man verloren.

 

[Bananenbieger]

Wie gelangt die Malware denn auf den Mac?

Wahrscheinlich durch das Bedienmodul vor dem Bildschirm. Das muss ja ein root-Passwort eingeben.

 

[u0679]

Das ist mir klar, die Frage bezog sich darauf, wie die Verbreitung passiert? Mailanhang, verseuchte Webseite, etc.

 

[Bananenbieger]

Let's end with some Q&A!
Q: How do I get infected?
A: At this time, this is unknown. However, it's likely the attacker are using (rather lame) methods such as malicious email, web-based fake security alerts/popups, or social-engineering type attacks to target mac users

Quelle: https://objective-see.com/blog/blog_0x26.html

Also wahrscheinlich auf die üblichen Wege.

Da man ja ein Admin-Passwort eingeben muss, werden Angreifer wohl keine anderen Wege gehen können.