ClickFix-Angriff verbreitet macOS-Krypto-Drainer, der Guthaben aus Wallets stiehlt

Eine neue ClickFix-Kampagne nimmt macOS-Nutzer mit Schadsoftware ins Visier, die Kryptowährungen, Browser-Passwörter, Daten aus dem Apple-Schlüsselbund und zwischengespeicherte Zugangsdaten stiehlt.

Huntress entdeckte die Bedrohung bei der Untersuchung eines ClickFix-Vorfalls. Den Forschern zufolge kann die in Go entwickelte Schadsoftware Kryptowährungstransaktionen abfangen und Gelder umleiten, bevor die Opfer ihre Transaktionen bestätigen.

Im Gegensatz zu vielen Tools zum Leeren von Krypto-Wallets muss dieser macOS-Krypto-Drainer nicht immer das gesamte Konto leeren. Angreifer können ihn so konfigurieren, dass er nur einen Teil einer Transaktion umleitet oder berechnet, welchen Wert er stehlen soll.

ClickFix-Köder fordert Opfer zur Nutzung des Terminals auf

Der Angriff beginnt mit einer E-Mail, die das Ziel auf eine schädliche Webseite weiterleitet. Dort wird der Nutzer aufgefordert, das Terminal zu öffnen und einen Befehl auszuführen.

ClickFix-Kampagnen setzen häufig auf diese Taktik. Anstatt eine Software-Schwachstelle auszunutzen, bringen die Angreifer ihre Opfer dazu, Befehle selbst zu kopieren und auszuführen.

Der Befehl lädt ein Bash-Skript herunter, das grundlegende Systeminformationen sammelt, darunter Angaben zum Prozessor und Arbeitsspeicher des Computers. Anschließend lädt es eine Mach-O-Schadsoftware herunter, die zur Prozessorarchitektur des Macs passt.

Danach identifiziert das Skript das aktuell angemeldete Benutzerkonto und erstellt ein Verzeichnis mit einem Namen, der trustd ähnelt. Trustd ist ein legitimer macOS-Prozess, der kryptografische Zertifikate und Codesignaturen überprüft.

Der Loader kopiert seine Payload unter dem Namen com.apple.verified in dieses Verzeichnis. Außerdem entfernt er das Quarantäneattribut, das macOS normalerweise auf heruntergeladene Dateien anwendet. Dadurch versucht die Schadsoftware zu verhindern, dass Gatekeeper eine Sicherheitswarnung anzeigt, wenn das Opfer die Datei ausführt.

Schadsoftware stiehlt Zugangsdaten und greift Wallets an

Huntress zufolge richtet die Schadsoftware einen dauerhaften Zugriff ein und versucht, höhere Berechtigungen zu erhalten, indem sie eine gefälschte macOS-Fehlermeldung anzeigt. Die Meldung fordert das Opfer zur Eingabe eines Administratorpassworts auf.

Nach erfolgreichem Zugriff durchsucht der Stealer das Gerät nach Dateien mit Zugangsdaten. Dabei zielt er insbesondere auf Passwortdatenbanken von Browsern, Informationen aus dem Apple-Schlüsselbund und in Browser-Cookies gespeicherte Authentifizierungsdaten ab.

Die Schadsoftware enthält außerdem Code, der Kryptowährungstransaktionen verändert, bevor der Nutzer sie signiert. Sie kann Überweisungen von Bitcoin, Litecoin, Dogecoin, Monero, Ethereum und XRP an Wallets umleiten, die von den Angreifern kontrolliert werden.

Die Forscher stellten fest, dass das Tool den Wert eines bestimmten Prozentsatzes der Krypto-Bestände des Opfers berechnen kann. Diese Fähigkeit gibt den Betreibern mehr Flexibilität als ein typischer Krypto-Drainer, der häufig versucht, sämtliche verfügbaren Vermögenswerte zu stehlen.

Ein kleinerer oder prozentualer Diebstahl könnte weniger Aufmerksamkeit erregen und es dem Opfer erschweren, die betrügerische Transaktion sofort zu bemerken.

Huntress verbindet Infrastruktur mit sanktioniertem Anbieter

Laut Huntress kommuniziert die Schadsoftware mit gemeinsam genutzten IP-Adressen im Autonomous System 210644.

Den Forschern zufolge betreibt das russische Unternehmen Aeza Group das Netzwerk. Die Vereinigten Staaten und das Vereinigte Königreich haben Sanktionen gegen das Unternehmen und mehrere mit ihm verbundene Personen verhängt. Ihnen wird vorgeworfen, sogenannte Bulletproof-Hosting-Dienste für Ransomware-Gruppen bereitzustellen.

Mac-Nutzer sollten unerwartete Aufforderungen zur Ausführung von Terminal-Befehlen als deutliches Warnsignal betrachten. Seriöse Unternehmen fordern Kunden normalerweise nicht dazu auf, Befehle in das Terminal einzufügen, um ein Problem zu beheben, ein Konto zu verifizieren oder eine Sicherheitsprüfung durchzuführen.

Ein aktuelles macOS-System, starke Schutzmaßnahmen für Benutzerkonten und die sorgfältige Überprüfung jeder Kryptowährungstransaktion vor der Signierung können das Risiko durch diesen macOS-Krypto-Drainer reduzieren.