Infostealer greift unbemerkt Daten auf MacOS ab

Das Threat-Labs-Team von Jamf hat eine neue MacOS-Malware entdeckt. Der Infostealer namens Digitstealer umgeht Sicherheitssysteme mithilfe von mehrstufigen Angriffsmustern und Hardware-Prüfungen und stiehlt unbemerkt sensible Daten von Apple-Systemen. Laut Blogbeitrag von Jamf wurde der Schadcode zum Zeitpunkt der Analyse von keinem Antivirenprogramm erkannt.

Die neuentdeckte Malware nutzt einen Drag-to-Terminal-Ansatz, um Schutzmechanismen des Systems zu umgehen und den Schadcode spurlos auszuführen, erklärt der Anbieter für Sicherheitslösungen. Digistealer tarne sich als das MacOS-Dienstprogramm "Dynamiclake". Die echte Version dieser Software sei mit der Entwicklerteam-ID XT766AV9R9 signiert. In der gefälschten Version hingegen ist diese ID laut Jamf nicht enthalten. Zudem werde sie über die Domain "https[:]//dynamiclake[.]org" verbreitet. 

Digitstealer enthalte unübliche Elemente für Infostealer-Payload, darunter eine Überprüfung der Ländereinstellung und des Chipsatzes. Gemäss Bericht dient dies dem Schutz des Aufenthaltsortes der Angreifer sowie zur direkten Beschränkung auf bestimmte Apple-Systemkonfigurationen.

Nachdem die Überprüfung abgeschlossen ist, lade Digitstealer vier separate Payloads herunter und führe sie direkt im Systemspeicher aus. Der Angriff durchläuft also mehrere Phasen, bis die Malware den Schadcode ausführt. Dies hinterlasse keinerlei Spuren und soll eine forensische Rekonstruktion schwierig bis unmöglich machen. Laut Jamf basieren diese Payloads auf JXA und exfiltrieren beispielsweise auch Daten jeglicher Browser. 

Jamf empfiehlt seinen Kunden, Threat Prevention und Advanced Threat Controls in Jamf Protect zu aktivieren und diese Funktion auf Blockierungsmodus zu stellen.

Das könnte Sie auch interessierten: Apple hat im Oktober Sicherheitsupdates für iOS, iPadOS und macOS veröffentlicht. Die Sicherheitslücke, die damit behoben werden sollte, wurde vom Bundesamt für Sicherheit in der Informationstechnik von Deutschland als hohes Risiko eingestuft. Lesen Sie hier mehr dazu. 

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.