Categories: SicherheitVirus

Mac-Malware gibt sich als Börsen-App aus und stiehlt Nutzerdaten

Trend Micro warnt vor einem neuen Trojaner, der sich gegen Nutzer von Apples Desktop-Betriebssystem macOS richtet. Der Trojan.MacOS.GMERA genannte Schädling, der bisher in zwei Varianten vorliegt, gibt sich als die legitime Börsenhandels-App Stockfolio aus. Sie ist unter anderem in der Lage, persönliche Daten auszuspähen, und Daten über den verwendeten Mac zu sammeln.

Entdeckt wurde die Schadsoftware von Trend Micros Machine-Learning-System, das bestimmte Shell-Skripte als verdächtig einstufte. Tatsächlich enthielt das erste analysierte Muster neben der legitimen Stockfolio-App eine versteckte und verschlüsselte Datei, wobei die Stockfolio-App (Version 1.4.13) mit einem gefälschten Zertifikat versehen war.

Wird die gefälschte App installiert, werden auch zwei Skripte gestartet, von denen eines den Nutzernamen und die IP-Adresse aufzeichnet sowie die Inhalte der Ordner „Anwendungen“, „Dokumente“ und „Desktop“ erfasst. Diese Daten speichert die Malware in einer verschlüsselten Datei und lädt sie auf einen Server im Internet hoch. Das andere ist für die Installation der eigentlichen Börsen-App zuständig.

Mithilfe des gefälschten digitalen Zertifikats der ersten Variante fand Trend Micro eine neuere B-Variante des Trojaners. Sie war bereits im Juni 2019 auf VirusTotal hochgeladen worden. Auch sie basiert auf der eigentlich veralteten Version 1.4.13 von Stockfolio – aktuell ist die Version 1.5.

Um sich dauerhaft auf einem Mac einzurichten legt die neue Variante eine Property List (plist-Datei) an. Sie wiederum startet eine Reverse-Shell, mit der die Malware Befehle von einem Server im Internet empfangen kann.

„Angesichts der Veränderungen, die wir von der ersten Iteration der Malware-Variante bis zur aktuellen Version gesehen haben, beobachten wir einen Trend, bei dem die Malware-Autoren ihre Routine vereinfacht und um weitere Funktionen erweitert haben. Es ist möglich, dass die Hintermänner nach Möglichkeiten suchen, sie effizienter zu gestalten – vielleicht sogar in Zukunft mit Ausweichmechanismen.

Apple teilte auf Nachfrage von Trend Micro mit, dass das für den Trojaner verwendete digitale Zertifikat bereits im Juli wiederrufen wurde. Darüber hinaus rät der japanische Sicherheitsanbieter, Apps nur aus vertrauenswürdigen Quellten zu installieren.

WEBINAR

Webinar-Aufzeichnung: HPE Server mit AMD EPYC 2 stellen 37 Rekorde auf

Das Webinar informiert Sie über die neuen auf AMD EPYC 2 basierenden HPE Server. Erfahren Sie mehr über die erheblichen Leistungs- und Kostenvorteile, die die neue Architektur in der Praxis bietet. Jetzt registrieren und Webinar-Aufzeichnung ansehen.

Stefan Beiersmann @beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Google bringt Seitenisolierung von Chrome auf Android

Sie unterstützt aber nur Seiten, die Anmeldedaten abfragen. Das ist eine Konzession an die begrenzten Ressourcen von Android-Geräten. Zudem setzt…

1 Tag ago

Canonical veröffentlicht Ubuntu 19.10 Eoan Ermine

Die Entwickler versprechen eine flüssigere Performance des Gnome-Desktops. Weitere Neuerungen richten sich an AI-Entwickler. Ubuntu 19.10 verbessert aber auch den…

1 Tag ago

Xiaomi Mi 9T Pro mit 128 GByte jetzt für unter 340 Euro

Das Angebot gilt für das blaue und schwarze Modell mit 128 GByte, die Gearbest aktuell für jeweils 337,88 Euro verkauft.…

1 Tag ago

Umgehung des Fingerabdrucksensors: Samsung kündigt Patch fürs Galaxy S10 an

Bestimmte Silikonhüllen für das Display vertragen sich nicht mit dem Fingerabdruckscanner. Der erfasst zusammen mit dem Fingerabdruck deren Mikromuster. Das…

1 Tag ago

Polizei Aachen geht gegen deutschen Free-Hoster Share-Online.biz vor

Die Seite ist seit 16. Oktober nicht mehr erreichbar. Die Ermittlungen richten sich gegen vier Betreiber des Filehosters. Sie sollen…

1 Tag ago

Krack: Eset warnt vor Schwachstellen in Echo- und Kindle-Geräten

Sie sind anfällig für die Krack genannten Angriffe auf die WPA2-Verschlüsselung von WLAN-Netzen. Die Fehler stecken in Echo-Geräten der ersten…

1 Tag ago