Unter macOS taucht zunehmend Schadsoftware auf, die trotz Apples Schutzmechanismen ungehindert startet. Grund sind Apps, die korrekt signiert und von Apple beglaubigt wurden.
Ein aktueller Fall rund um die MacSync-Stealer-Familie zeigt, wie Angreifer:innen Apples Sicherheitsmodell gezielt ausnutzen.
MacSync Stealer: Missbrauch von Apple-Beglaubigungen
Jamf Threat Labs hat vergangene Woche neue Forschungsergebnisse zu einer weiteren Variante der immer populärer werdenden MacSync-Stealer-Familie veröffentlicht. Diese Variante lenkt den Fokus auf ein wachsendes Sicherheitsproblem unter macOS: Schadsoftware, die Apples zentrale Schutzmechanismen für Drittanbieter-Apps umgeht. Die neue Version wurde in einer manipulierten App verteilt, die sowohl mit einer gültigen Entwickler:innen-ID signiert als auch von Apple beglaubigt war. Für Gatekeeper bestand damit kein Anlass, den Start der App zu blockieren.
Apples Modell hat historisch betrachtet gut funktioniert. Apps, die außerhalb des Mac App Store verteilt werden, müssen kryptografisch signiert und zusätzlich beglaubigt (notarisiert) sein, um ohne zusätzliche Hürden für Benutzer:innen zu starten. Dieses Vertrauensmodell setzt jedoch voraus, dass eine Signatur wohlwollende Absichten bestätigt. Aktuell zeigt sich, dass Angreifer:innen echte Entwickler:innen-Zertifikate erhalten und so Schadsoftware verbreiten, die bei der Installation nicht von legitimer Software zu unterscheiden ist.
Wie Angreifer:innen an gültige Zertifikate kommen
Laut mehreren mit der Angelegenheit vertrauten Personen bedienen sich Bedrohungsakteur:innen verschiedener Methoden, häufig in Kombination. Signierte und beglaubigte schädliche Apps können mit Entwickler:innen-ID-Zertifikaten arbeiten, die kompromittiert wurden oder über Untergrundkanäle gekauft sind. Das senkt die Verdachtsmomente erheblich. Wie im Jamf-Bericht zu einer neuen MacSync-Stealer-Variante beschrieben, ist die anfängliche Binärdatei oft ein relativ einfaches, in Swift geschriebenes ausführbares Programm, das während der statischen Analyse durch Apple harmlos wirkt und für sich genommen wenig tut.
Die eigentlichen schädlichen Aktionen folgen später, wenn die App entfernte Server kontaktiert, um zusätzliche Nutzlasten zu laden. Sind diese Nutzlasten während der Beglaubigung nicht verfügbar und werden sie nur unter realen Laufzeitbedingungen aktiv, fehlt den Apple-Scannern jede verdächtige Komponente zur Analyse. Der Beglaubigungsprozess bewertet nur, was zum Zeitpunkt der Einreichung vorhanden ist, nicht das, was eine App nach dem Start noch nachlädt. Angreifer:innen entwickeln ihre Software erkennbar gezielt entlang dieser Grenze.
Bekannte Fälle seit 2020 und Einordnung des Risikos
Der erste bekannte Fall von durch Apple beglaubigter Schadsoftware datiert mindestens auf das Jahr 2020 zurück und wurde von einem Nutzer auf Twitter gemeldet. Im Juli dieses Jahres tauchte eine weitere ähnliche manipulierte App auf, die ebenfalls signiert und von Apple beglaubigt war. Ob der kritische Punkt bereits erreicht ist, lässt sich schwer sagen. Einerseits gilt: Schon ein einziger solcher Vorfall ist einer zu viel.
Andererseits wäre es zu einfach, die Verantwortung ausschließlich bei Apple zu suchen. Das System arbeitet im Wesentlichen wie vorgesehen. Code-Signierung und Beglaubigung sollten nie dauerhaft garantieren, dass Software harmlos ist, sondern sicherstellen, dass sie zu realen Entwickler:innen zurückverfolgt werden kann und Zertifikate bei Missbrauch entzogen werden.
Dieser Angriffsweg ist bemerkenswert und wird auch mit Blick auf 2026 weiter beobachtet werden. Für Euch bleibt am Ende die wichtigste Schutzmaßnahme, Software nur direkt von vertrauenswürdigen Entwickler:innen oder aus dem Mac App Store zu laden.
Via: https://9to5mac.com
