Gefälschtes Flash-Update bedroht Mac-Anwender

Intego hat einen bösartigen Installer entdeckt, der sich als Flash-Update ausgibt und tatsächlich ungewollte Software auf Mac-Rechnern installiert. Anstelle der gewünschten Sicherheitsaktualisierung für Flash Player befördert der Installer PUPs (potentiell unerwünschte Programme) von Drittanbietern auf den Rechner. Den Sicherheitsforschern fielen unter anderem MegaBackup, ZipCloud und MacKeeper auf.

Sicherheitsspezialist Intego sieht sich daher erneut veranlasst, Mac-Nutzer zu besonderer Vorsicht zu mahnen, wenn sie Updates für Adobe Flash Player installieren. Beim jetzt identifizierten Installer handelt es sich um eine Variante von OSX/InstallCore, der schon vor zwei Monaten durch die Installation von Scareware auffiel. Dessen Verbreitung begann mit falschen Pop-up-Warnungen, in denen von einem dringend erforderlichen Flash-Update die Rede war.

Damals wie jetzt mogelte sich das gefälschte Flash-Update auf einfache Weise an Gatekeeper vorbei, dem Malwareschutz von OS X. Die seit OS X 10.8 Mountain Lion integrierte Sicherheitsfunktion soll wie ein Torwächter fungieren und standardmäßig nur Anwendungen aus dem Mac App Store und von zertifizierten Entwicklern zulassen. Die Hintermänner von OSX/InstallCore signierten ihren Code jedoch mit einem gültigen Entwicklerzertifikat, sodass die Malware mühelos Apples integrierte Verteidigung überwinden konnte. Das kompromittierte Zertifikat MDK7FNV856 wurde auf den Namen Nikolay Nikolay Lastovka ausgestellt.

„Das alles wirft die Frage auf – von woher bekommen die Angreifer ihre gültigen Apple-Entwicklerzertifikate?“ fragt sich Sicherheitsexperte Graham Cluley in einem Blogeintrag. „Eine konkrete Möglichkeit besteht darin, dass einige OS-X-Entwickler zu sorglos hinsichtlich ihrer eigenen Sicherheit sind und nicht die Notwendigkeit erkennen, ihre Zertifikate vor Hackern zu schützen.“

Besonders leicht fällt es Angreifern offenbar, Nutzer mit dem Hinweis auf ein unverzichtbares Update für Flash Player zu überrumpeln. Dazu tragen die laufend entdeckten Sicherheitslücken in der Software bei, die Hersteller Adobe regelmäßig mit Updates zu beheben versucht. In der letzten Woche erst musste Adobe ein außerplanmäßiges Sicherheitupdate für Flash Player veröffentlichen. Es schloss neben einer Zero-Day-Lücke, vor der das Unternehmen schon Tage zuvor warnte, 23 weitere kritische Schwachstellen.

Neben Flash sind auch Java und Silverlight immer wieder von Sicherheitsproblemen betroffen. Nutzer sollten auf diese Plug-ins entweder komplett verzichten oder sie so konfigurieren, dass sie nicht automatisch Inhalte abspielen, sondern erst die Zustimmung des Anwenders einholen. Dieses als „Click-To-Play“ bekannte Feature bieten unter anderen Firefox und Chrome.