Neuer macOS-Infostealer prüft Passwörter vor dem Datendiebstahl

Ein neu entdeckter Infostealer für macOS überprüft das Login-Passwort eines Macs, bevor weitere Daten gestohlen werden. Angreifende erhalten so sofort die Bestätigung, dass erbeutete Zugangsdaten tatsächlich funktionieren.

PamStealer tarnt sich als Maccy-Download

Forschende von Jamf Threat Labs haben eine neue Malware-Kampagne für macOS analysiert, die rund um einen Infostealer namens PamStealer aufgebaut ist. Die Schadsoftware tarnt sich als der bekannte Clipboard-Manager Maccy und kombiniert AppleScript mit einer in Rust geschriebenen zweiten Stufe.

Die Kampagne startet mit einer gefälschten Website, die der echten Seite des Clipboard-Managers Maccy stark ähnelt. Von dort wird eine bösartige AppleScript-Anwendung ausgeliefert, die sich als Maccy ausgibt. Öffnen Betroffene den vermeintlichen Download, prüft die Anwendung zunächst das System und lädt anschließend einen Rust-basierten Second-Stage-Payload nach. Erst dann richtet PamStealer seine Persistenz ein und beginnt mit der Datensammlung.

Jamf hat zudem beobachtet, dass PamStealer vor der Ausführung verschiedene Systemmerkmale, die Tastaturbelegung und Regionseinstellungen prüft. Diese Abfragen deuten darauf hin, dass die Malware nur auf Systemen laufen soll, die bestimmten Zielkriterien entsprechen.

Passwortprüfung erhöht den Wert der Zugangsdaten

Die auffälligste Funktion von PamStealer ist der Umgang mit Login-Daten. Während der Ausführung blendet die Malware einen scheinbar legitimen macOS-Dialog zur Autorisierung ein, der nach einem Passwort fragt, damit „Maccy“ Änderungen vornehmen kann. Anstatt die Eingabe nur mitzuschneiden, validiert PamStealer das Passwort über Apples Pluggable Authentication Modules, bevor es weitergeht.

Laut Jamf ersetzt oder umgeht PamStealer das Authentifizierungssystem von Apple nicht. Stattdessen missbraucht die Malware ein legitimes macOS-Framework, um Zugangsdaten zu überprüfen, nachdem Nutzer:innen zur Eingabe des Passworts überredet wurden. Ungültige Passwörter können Angreifende so direkt aussortieren, bevor sie den Angriff fortsetzen.

Nach der erfolgreichen Passwortprüfung sammelt der Rust-Payload umfangreiche Informationen vom infizierten Mac. Dazu gehören laut Jamf Browser-Cookies, Browserverläufe, gespeicherte Zugangsdaten, SQLite-Datenbanken, Inhalte der Zwischenablage sowie Daten aus Krypto-Wallets. Die gestohlenen Informationen werden vor der Übertragung an die Command-and-Control-Infrastruktur verschlüsselt, was eine Analyse des Netzwerkverkehrs zusätzlich erschwert.

Für die dauerhafte Verankerung im System legt PamStealer Login-Objekte sowohl über moderne als auch über ältere Mechanismen von macOS an, damit die Malware nach jeder Anmeldung automatisch startet. Zudem gibt sie sich als Finder aus, um Betroffene zur Vergabe der Berechtigung „Full Disk Access“ zu bewegen. Diese Freigabe würde den Zugriff auf deutlich mehr Daten erlauben, ohne dass weitere Nachfragen von macOS erscheinen.

Missbrauch nativer macOS-Funktionen und Schutzmaßnahmen

Der Fall PamStealer zeigt laut Jamf, dass macOS-Malware zunehmend legitime Systemfunktionen missbraucht, statt ausschließlich auf klassisch schädlichen Code zu setzen. Das Zusammenspiel aus Apples Authentifizierungsframework, Rust-Code und verschlüsselter Kommunikation macht die Analyse der Schadsoftware schwieriger. Die Forschenden sehen darin ein Beispiel für die Weiterentwicklung von macOS-fokussierter Malware, ohne dass unbekannte Sicherheitslücken ausgenutzt werden müssen.

Gleichzeitig ist PamStealer darauf angewiesen, dass Nutzer:innen Software von einer nicht vertrauenswürdigen Quelle herunterladen und mehreren Systemdialogen zustimmen. Jamf empfiehlt, Mac-Apps nur von vertrauenswürdigen Entwickler:innen zu beziehen und Website-Adressen vor einer Installation genau zu prüfen. Unerwartete Aufforderungen zur Eingabe eines Administrator-Passworts sollten besonders kritisch hinterfragt werden, insbesondere während einer Installation.

Anfragen nach „Full Disk Access“ verdienen besondere Aufmerksamkeit und sollten nur dann akzeptiert werden, wenn die Berechtigung für eine vertrauenswürdige Anwendung wirklich notwendig ist. Ein aktuelles macOS und regelmäßig gepflegte Sicherheitssoftware können außerdem helfen, bekannte Malware wie PamStealer zu erkennen oder zu blockieren.

Organisationen, die Jamf einsetzen, können laut dem Unternehmen Threat Prevention, Advanced Threat Controls und Web Protection so konfigurieren, dass ähnliche Malware bereits vor der Ausführung blockiert wird.

Hinweis: Dieser Beitrag ist eine automatisch erstellte Zusammenfassung mithilfe von Künstlicher Intelligenz. Eine redaktionelle Prüfung fand nicht statt.

Via: appleinsider.com

Den Beitrag in unserem Forum kommentieren