Eine neue Kampagne mit MacSync-Malware nutzt laut Forschern von Kaspersky öffentliche iCloud-Kalenderereignisse als Teil ihrer Infektionskette. In einer Ereignisbeschreibung versteckte Befehle weisen einen Downloader an, weitere schädliche Komponenten aus iCloud abzurufen.
Kalenderereignis versteckt Download-Befehle
MacSync zielt mit irreführenden Downloads und Social Engineering auf macOS-Nutzer ab. Forscher haben beobachtet, dass die Malware als kostenlose oder gecrackte Software sowie als gefälschte Kryptowährungs-Wallet namens Toria angeboten wurde.
Kaspersky identifizierte in einer aktuellen Kampagne zwei Verbreitungsmethoden. Bei der komplexeren Methode ruft ein Downloader den Inhalt eines öffentlichen iCloud-Kalenderereignisses ab und übergibt diese Daten an die zsh-Shell des Macs.
Der Großteil des Ereignistextes erzeugt Fehlermeldungen. Befehle, die nach der DESCRIPTION:-Zeile des Ereignisses stehen, werden jedoch ausgeführt und laden ein Archiv aus iCloud herunter. Das Archiv enthält ein App-Bundle, das eine Reihe von Installationsschritten startet. Diese Schritte installieren schließlich MacSync.
Infostealer zielt auf Zugangsdaten und Dateien ab
Die informationsstehlende Komponente ähnelt weitgehend früheren Versionen. Sie sucht nach Browserverlauf, Cookies und gespeicherten Zugangsdaten sowie nach Daten aus Kryptowährungs-Wallets und Telegram-Dateien.
Sie zielt außerdem auf die macOS-Keychain-Datei, Systeminformationen und Dateien im Zusammenhang mit SSH, AWS, Kubernetes und Git ab. Die Malware kann eigene Passwortabfragen anzeigen, um zusätzlichen Zugriff zu erlangen.
Neue Backdoor erweitert Fernzugriffsfunktionen
Kaspersky entdeckte ein neues, in Objective-C geschriebenes Backdoor-Modul. Es tarnt sich als Finder und nutzt mehrere Methoden, um nach einem Neustart erneut ausgeführt zu werden, darunter einen LaunchAgent und Änderungen an der Shell-Konfiguration.
Das Installationsprogramm beendet außerdem macOS-Benachrichtigungsprozesse, wodurch Nutzer möglicherweise keine Warnmeldungen sehen. Laut den Forschern kann die Backdoor Anweisungen von ihrem Kontrollserver empfangen, Dateien und Systeminformationen sammeln und diese Daten hochladen.
Einige Befehlsnamen deuten darauf hin, dass sie eine Browsererweiterung installieren oder eine Ledger-Wallet-App ersetzen kann. Kaspersky konnte den AppleScript-Code hinter diesen Befehlen nicht untersuchen und daher nicht genau bestätigen, wie sie funktionieren. Die Forscher fanden außerdem eine weitere heruntergeladene Komponente, deren Zweck weiterhin unbekannt ist.
Mac-Nutzer sollten unerwartete Downloads überprüfen
Die kalenderbasierte Verbreitungsmethode bietet MacSync-Malware eine weitere Möglichkeit, ihre Komponenten abzurufen. Mac-Nutzer sollten vermeiden, Befehle auszuführen, die von Websites oder unerwarteten Aufforderungen bereitgestellt werden. Sie sollten außerdem bei Softwaredownloads von unbekannten Websites und bei Aufforderungen zur Eingabe eines Administratorpassworts vorsichtig sein.
0 Kommentare zu „MacSync-Malware nutzt öffentliche iCloud-Kalender zur Bereitstellung schädlicher Payloads“