Forscher von Huntress haben eine Kampagne beobachtet, in der ClickFix-Angriffe zur Auslieferung von auf Go geschriebener Malware auf macOS eingesetzt werden. Der Stealer ist in der Lage, Passwörter aus Browsern, Daten aus Apple Keychain, zwischengespeicherte Anmeldedaten zu stehlen und außerdem – was besonders bemerkenswert ist – schrittweise Gelder aus Kryptowährungs-Wallets abzuziehen. Die Kampagne betrifft Besitzer von macOS-Geräten, die Krypto-Assets in lokalen Wallets aufbewahren, und stellt eine direkte finanzielle Bedrohung dar: Die Malware unterstützt das Leeren von Wallets für Bitcoin, Ethereum, Litecoin, Dogecoin, Monero und XRP.
Infektionskette: vom Clipboard bis zur vollständigen Kontrolle
Der Angriff beginnt mit einem klassischen ClickFix-Szenario: Das Opfer wird durch Täuschung dazu gebracht, einen schädlichen Befehl in die Terminal-App unter macOS einzufügen. Nach Angaben der Forscher startet dieser Befehl ein Bash-Skript, das ein Systemprofiling durchführt – also detaillierte Informationen über Hardware und Konfiguration des Hosts sammelt. Auf Basis der gesammelten Daten lädt das Skript eine Nutzlast im Mach-O-Format nach, die mit der Prozessorarchitektur der jeweiligen Maschine des Opfers kompatibel ist.
Der nachgeladene, in Go geschriebene Stealer implementiert mehrere Vektoren für den Datendiebstahl:
- Extraktion von in Browsern gespeicherten Passwörtern
- Zugriff auf Daten aus Apple Keychain und iCloud Keychain
- Sammlung zwischengespeicherter Anmeldedaten
- Übermittlung sämtlicher gesammelter Informationen an einen Remote-Server des Angreifers
Zur Privilegienerweiterung nutzt die Malware einen Social-Engineering-Trick: Dem Opfer wird eine gefälschte Systembenachrichtigung über einen „unvorhergesehenen Systemfehler“ und die Notwendigkeit zur Wiederherstellung beschädigter Dateien angezeigt. Unter diesem Vorwand wird die Eingabe von System-Anmeldedaten angefordert.
Mechanismus zum Leeren von Kryptowallets
Die bedeutendste Funktion des Stealers ist die integrierte Prozedur DRAIN. Nach Angaben von Huntress prüft die Malware, ob Guthaben in Kryptowährungs-Wallets vorhanden ist, und leitet, sobald ein Kontostand festgestellt wird, einen Teil oder die gesamten Mittel an ein Wallet um, das vom Angreifer kontrolliert wird. Für jede unterstützte Kryptowährung – Bitcoin, Litecoin, Dogecoin, Monero, Ethereum und XRP – ist eine eigene Variante der Drain-Funktion implementiert.
Die Forscher von Huntress stellen fest, dass die Malware separate Funktionen zur Berechnung des Werts von 1 % des Wallet-Inhalts in Abhängigkeit von der jeweiligen Ziel-Kryptowährung enthält. Ihren Einschätzungen zufolge ist dies der erste bekannte Fall von Schadsoftware, die in der Lage ist, einen beliebigen Anteil des Guthabens abzuziehen und nicht nur den vollständigen Inhalt des Wallets. Es sei allerdings angemerkt, dass es sich hierbei um die Einschätzung eines einzelnen Forschungsteams handelt, die nicht durch unabhängige Quellen bestätigt ist.
Evolution von ClickFix: parallele Kampagnen
Die entdeckte Kampagne ist Teil einer breiteren Welle von ClickFix-Angriffen, die in den letzten Wochen von mehreren Forschergruppen beobachtet wurden:
Filterung von Zielen auf macOS. Microsoft berichtet über eine Kampagne, die MacSync und Atomic Stealer über einen Cluster ähnlicher Domains verbreitet. Die Angreifer nutzen eine serverseitige Browser-Fingerabdruckprüfung und Hardware-Validierung, um bösartige Köder nur Besuchern mit echten macOS-Browsern anzuzeigen und Crawler, Sandboxes sowie automatisierte Analysetools auszufiltern.
Missbrauch des Program Compatibility Assistant. Palo Alto Networks Unit 42 beschreibt eine Variante, die die legitime Windows-Binärdatei pcalua.exe nutzt, um Heuristiken zum übergeordneten Prozess zu umgehen. Das Opfer wird dazu gebracht, einen Befehl einzufügen, der PowerShell startet, über WMI eine cmd.exe erstellt, eine entfernte WebDAV-Ressource einbindet und eine bösartige DLL über rundll32.exe lädt. Die WebDAV-Ressource ist per HTTPS über eine Infrastruktur mit CDN-Fronting erreichbar, und jedes Opfer erhält eine eindeutige, tokenisierte URL mit einem Pfad auf Basis von UUIDv4.
WebAssembly und Steganographie. Eine weitere von Unit 42 beschriebene Kampagne nutzt das dynamische Erzeugen von WebAssembly-Modulen und Steganographie über SVG-Bilder, um der Netzwerk-Erkennung zu entgehen. Kompromittierte legitime Websites führen eingebetteten JavaScript-Code aus, der ein WASM-Modul aufbaut. Dieses extrahiert URLs aus SVG-Dateien, um die endgültige Adresse des ClickFix-Köders mit einer gefälschten Verifizierungsseite zu konstruieren.
Verwandte Kampagnen: Piraterie-Inhalte als Angriffsvektor
Parallel dazu werden Kampagnen zur Verbreitung von Infostealern über Piraterie-Inhalte beobachtet. Nach Angaben von Bitdefender wird Lumma Stealer über Dateien verbreitet, die als Releases des Films „Odyssey“ in den Formaten 1080p WEBRip und Blu-ray getarnt sind. Außerdem berichtet Unit 42 über die Verbreitung des Stealers Remus – einer 64-Bit-Variante von Lumma Stealer – über gefälschte Websites mit gecrackter Software und Raubkopien von Spielen, die mittels Vergiftung der Suchergebnisse beworben werden.
Bewertung der Auswirkungen
Am stärksten gefährdet sind macOS-Nutzer, die mit Kryptowährungs-Wallets arbeiten, insbesondere jene, die erhebliche Beträge in lokalen Wallets mit Unterstützung für Bitcoin, Ethereum, Monero und andere der genannten Kryptowährungen aufbewahren. Der Mechanismus des teilweisen Drainings macht den Diebstahl weniger auffällig: Der Verlust von 1 % des Guthabens kann lange unentdeckt bleiben und ermöglicht es dem Angreifer, wiederholt Abzüge vorzunehmen.
Der Diebstahl von Daten aus Apple Keychain und iCloud Keychain schafft zusätzliche Risiken für die Kompromittierung des gesamten Ökosystems der Konten des Opfers – von E-Mail-Diensten bis hin zu Banking-Apps.
Empfehlungen zum Schutz
- Fügen Sie niemals Befehle aus nicht verifizierten Quellen in Terminal oder Run ein. Dies ist der Hauptvektor aller ClickFix-Angriffe. Jede Anweisung vom Typ „kopieren und in das Terminal einfügen“ aus einer unbekannten Quelle ist ein Warnsignal.
- Konfigurieren Sie ein Monitoring für ausgehende Transaktionen von Kryptowallets mit Benachrichtigungen über alle Überweisungen, einschließlich kleiner Beträge.
- Verwenden Sie Hardware-Wallets zur Aufbewahrung erheblicher Krypto-Assets – diese sind nicht für ein softwarebasiertes Draining anfällig.
- Prüfen Sie Systemdialoge sorgfältig: macOS fordert keine Passwörter über ungewöhnliche Pop-up-Fenster mit Meldungen zu „beschädigten Systemdateien“ an.
- Für Organisationen: Implementieren Sie Richtlinien, die die Ausführung beliebiger Befehle im Terminal einschränken, und überwachen Sie den Start unsignierter Mach-O-Binärdateien.
- Auf Windows-Systemen: Überwachen Sie die anomale Nutzung von pcalua.exe, das Einbinden von WebDAV-Ressourcen und Aufrufketten der Form PowerShell → WMI → cmd.exe → rundll32.exe.
Die Konvergenz von ClickFix-Techniken mit der Funktionalität zum Leeren von Kryptowallets signalisiert einen Übergang der Angreifer von massenhaftem Diebstahl von Anmeldedaten hin zur gezielten finanziellen Ausbeutung. Vorrangige Maßnahme für Inhaber von Krypto-Assets unter macOS ist die Übertragung von Mitteln auf Hardware-Wallets sowie die Überprüfung sämtlicher jüngerer Transaktionen auf unautorisierte Kleinbetrags-Überweisungen, die auf eine bereits erfolgte Kompromittierung hinweisen können.
