Categories: SicherheitVirus

EvilQuest: Neue Ransomware für macOS im Umlauf

Sicherheitsforscher von Malwarebytes und SentinelOne haben eine neue Ransomware entdeckt, die sich gegen Nutzer von macOS richtet. OSX.EvilQuest unterscheidet sich von bereits bekannter Erpressersoftware für das Apple-Betriebssystem, weil sie nicht nur Dateien verschlüsselt, sondern auch einen Keylogger und eine Reverse Shell installiert. Außerdem ist EvilQuest in der Lage, Dateien von Kryptowährungsbörsen zu stehlen.

Thomas Reed, bei Malwarebytes für Mac und Mobile zuständig, und Phil Stokes, Mac-Sicherheitsforscher bei SentinelOne, suchen derzeit nach Schwachstellen in der Verschlüsselung von EvilQuest. Sie sollen ihnen helfen, ein kostenloses Entschlüsselungstool zu entwickeln, mit dem Opfer ihre Dateien ohne Zahlung eines Lösegelds wiederherstellen können.

Erstmals berichtete jedoch der Sicherheitsforscher Dinesh Devadoss am Montag per Twitter über EvilQuest. Man geht jedoch davon aus, dass die Malware mindestens seit Anfang Juni im Umlauf ist. Verbreitet wird sie unter anderem über Raubkopien von macOS-Software, die wiederum in Torrent-Portalen und Online-Forum angeboten wird. So fand sich EvilQuest in einem Softwarepaket mit dem Namen Google Software Update, einer gehackten Version der DJ-Software Mixed in Key sowie in einer Version des Sicherheits-Tools Little Snitch.

Auch der Sicherheitsforscher Patrick Wardle beschäftigte sich in den vergangenen Tagen mit EvilQuest. Demnach soll die Ransomware, nachdem sie alle Dateien verschlüsselt hat, ihre Lösegeldforderung einblenden. Die Cyberkriminellen verlangen, dass das Opfer innerhalb von drei Tagen 50 Dollar bezahlt. Weitere Details hält eine Datei namens Read_Me_Now.txt auf dem Desktop bereit. Dort findet sich unter anderem die Adresse, an die Zahlung in Bitcoin zu erfolgen hat.

Stokes zufolge verschlüsselt EvilQuest nur bestimmte Dateitypen, darunter PDF-Dateien, Office-Dokumente, Fotos und Zip-Dateien.

Nach erfolgter Zahlung befindet sich ein Mac allerdings immer noch unter Kontrolle der Angreifer. Denn nach der Verschlüsselung installiert die Ransomware einen Keylogger, der alle Tastatureingaben aufzeichnet. Eine Reverse Shell erlaubt es zudem, jederzeit eine Verbindung zu dem infizierten Mac aufzubauen und Befehle auszuführen, mit dem Ziel, Dateien zu stehlen, die typisch für Kryptowährungsbörsen sind.

Wardle bietet ein kostenlosen Sicherheitstool namens RansomWhere an, das EvilQuest erkennen und aufhalten kann. Reed zufolge sollen auch die Sicherheitslösungen von Malwarebytes vor der Erpressersoftware schützen.

EvilQuest ist nach KeRanger und Patcher erst die dritte Ransomware, die offenbar exklusiv für macOS entwickelt wurde. Mabouia ist eine weitere Erpressersoftware für Apple-Computer, die aber nur als Konzept existierte, das niemals umgesetzt wurde.

ANZEIGE

Netzwerksicherheit und Netzwerkmonitoring in der neuen Normalität

Die Gigamon Visibility Platform ist der Katalysator für die schnelle und optimierte Bereitstellung des Datenverkehrs für Sicherheitstools, Netzwerkperformance- und Applikationsperformance-Monitoring. Erfahren Sie in diesem Webinar, wie Sie mit Gigamon-Lösungen die Effizienz ihrer Sicherheitsarchitektur steigern und Kosten einsparen können.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Microsoft kündigt Windows Server 2022 an

Microsoft hat auf der Konferenz Ignite am 2. März 2021 neue Funktionen für den Windows…

4 Stunden ago

Cyber-Versicherung: Munich Re kooperiert mit Google Cloud und Allianz

Die neue Kooperation von Munich Re mit Google Cloud und Allianz Global Corporate & Specialty…

4 Stunden ago

Zero Trust – Jenseits der Mythen

Zero Trust, also niemandem und keinem Netzwerk oder Gerät vertrauen, klingt zunächst geheimnisvoll. Aber in…

23 Stunden ago

Rechtslage in Sachen Datenschutz mit UK unübersichtlich

Der Austritt Großbritanniens aus der EU hat den Handelsverkehr auf beiden Seiten massiv beeinträchtigt. Unklar…

1 Tag ago

SolarWinds-Attacke durch schwaches Passwort

Der Angriff auf SolarWinds soll laut dem ehemaligen CEO des Unternehmens durch die Naivität eines…

1 Tag ago

Hohe Installationszahlen für iOS 14

Trotz aller Kinderkrankheiten hat eine sehr hohe Zahl von Apple-Nutzern bereits das neue Betriebssystem iOS…

2 Tagen ago