Cookieminer: Neue Mac-Malware plündert Geldbörsen von Kryptowährungen

Palo Alto Networks hat eine neue Schadsoftware für Apples Desktop-Betriebssystem macOS entdeckt. Die Cookieminer genannte Malware hat es auf Browser-Cookies von Kryptowährungsbörsen wie Coinbase abgesehen, um Geld zu stehlen. Auch eine Multifaktor-Authentifizierung per SMS, die einen solchen Diebstahl verhindern soll, ist für Cookieminer demnach keine unüberwindbare Hürde.

Als Vorlage für Cookieminer diente den Hintermännern offenbar die Schadsoftware OSX.DarthMiner. Sie stiehlt aber nicht nur die Browser-Cookies gängiger Kryptowährungs-Websites und Wallet-Dienste, sondern auch in Chrome gespeicherte Passwörter. Zudem kann sie iPhone-Textnachrichten auf iTunes-Backups extrahieren.

Die Kombination aus Cookies und Anmeldedaten soll verhindern, dass die Anbieter Websites und Dienste einen Missbrauch feststellen. „Wenn nur der Benutzername und das Passwort gestohlen und von einem bösartigen Akteur verwendet werden, kann die Website einen Alarm auslösen oder eine zusätzliche Authentifizierung für ein neues Login anfordern. Wenn jedoch auch ein Authentifizierungs-Cookie zusammen mit dem Benutzernamen und dem Passwort bereitgestellt wird, könnte die Website glauben, dass die Sitzung mit einem zuvor authentifizierten Systemhost verbunden ist – und keine Warnung ausgeben oder zusätzliche Authentifizierungsmethoden anfordern“, erklärte Palo Alto Networks.

Cookieminer implantiert aber auch einen Coinminer, um im Hintergrund und ohne Wissen des Nutzers eine digitale Währung zu schürfen. In dem Fall handelt es sich um die vor allem in Japan genutzte Cryptowährung Koto, die ihren Nutzern Anonymität verspricht. Zu diesem Zweck wird auch eine Hintertür eingerichtet, die es erlaubt, einen Mac aus der Ferne zu steuern.

Wie der Schädling auf ein Mac-System gelangt, ist noch nicht geklärt. Die Forscher wissen jedoch, dass Cookieminer die Cookies mithilfe eines Shell-Scripts stiehlt, und zwar von Chrome und von Safari. Die Cookies landen anschließend auf einem von den Cyberkriminellen Servern. Das erlaubt es ihnen die Anmeldedaten zu extrahieren und die Cookies auf einem anderen Mac einzuschleusen, um beim Anmeldevorgang vorzutäuschen, das Opfer habe sich mit dem vorliegenden System bereits angemeldet.

Sollte es den Hintermännern gelingen, sich bei einer Geldbörse anzumelden, verfügen sie über dieselben Rechte wie der Nutzer, dem die Geldbörse gehört. Sie können also den Inhalt stehlen oder auch im Namen des Nutzers mit Kryptowährungen handeln. Betroffen sind die Geldbörsen Binance, Coinbase, Poloniex, Bittrex, Bitstamp und MyEtherWallet.