Gefälschte macOS-Fehlerbehebungsbeiträge installieren Krypto-Wallet-Stealer
- Angreifer veröffentlichen gefälschte macOS-Fehlerbehebungsanleitungen, um Benutzer dazu zu bringen, bösartige Terminal-Befehle auszuführen, die Kryptowährungen stehlen.
- Die Kampagne ist seit Ende 2025 aktiv und umgeht Gatekeeper, da Opfer die bösartigen Befehle selbst ausführen.
- Apple hat in macOS 26.4 einen Schutz hinzugefügt, der das Einfügen von als potenziell bösartig eingestuften Befehlen in das Terminal blockiert.
Angreifer veröffentlichen gefälschte macOS-Fehlerbehebungsanleitungen auf Medium, Craft und Squarespace. Das Ziel ist es, Benutzer dazu zu bringen, Terminal-Befehle auszuführen, die Malware installieren, die iCloud-Daten, gespeicherte Passwörter und Krypto-Wallets zielt.
Das Microsoft Defender Security Research Team hat die Ergebnisse veröffentlicht. Die Kampagne läuft seit Ende 2025. Sie nutzt Mac-Nutzer aus, die nach Hilfe bei häufigen Problemen wie dem Freigeben von Festplattenspeicher oder der Behebung von Systemfehlern suchen.
Anstatt eine legitime Lösung anzubieten, weisen die Seiten die Benutzer an, einen Befehl zu kopieren und in das Terminal einzufügen. Dieser Befehl lädt Malware herunter und führt sie aus.
Die irreführenden Blogbeiträge weisen die Leser an, einen bösartigen Befehl zu kopieren und in das Terminal einzufügen. Dieser Befehl lädt Malware herunter und führt sie auf dem Computer des Opfers aus.
Die Technik wird ClickFix genannt. Es handelt sich um Social Engineering, das die Verantwortung für das Ausführen der Payload auf das Opfer verlagert. Da der Benutzer den Befehl direkt im Terminal ausführt, überprüft macOS Gatekeeper die Payload niemals.
Gatekeeper überprüft normalerweise die Codesignierung und Notarisierung von App-Bundles, die über den Finder geöffnet werden, aber diese Methode umgeht dies vollständig.
Angreifer starteten drei Kampagnen mit demselben Ziel
Microsoft entdeckte drei Kampagnen-Installer:
- Ein Loader.
- Ein Skript.
- Ein Helper.
Alle drei sammeln sensible Daten, etablieren Persistenz und exfiltrieren gestohlene Informationen an die Server der Angreifer.
Zu den Malware-Familien gehören AMOS, Macsync und SHub Stealer. Wenn eine der drei Malwares installiert wurde, zielt sie auf iCloud- und Telegramm-Kontodaten ab. Dann sucht sie nach privaten Dokumenten und Fotos unter 2 MB. Und sie extrahiert Krypto-Wallet-Schlüssel von Exodus, Ledger und Trezor und stiehlt gespeicherte Benutzernamen und Passwörter aus Chrome und Firefox.
Nach der Installation wirft die Malware einen gefälschten Dialog auf und fragt nach einem Systempasswort, um ein „Hilfsprogramm“ zu installieren. Wenn der Benutzer das Passwort eingibt, erhält der Angreifer vollen Zugriff auf Dateien und Systemeinstellungen.
In einigen Fällen fanden Forscher heraus, dass Angreifer legitime Krypto-Wallet-Apps gelöscht und durch trojanisierte Versionen ersetzt hatten, die darauf ausgelegt sind, Transaktionen zu überwachen und Gelder zu stehlen.
Trezor Suite, Ledger Wallet und Exodus waren einige der Haupt-Apps, die in diesem Angriff Ziel waren.
Die Loader-Kampagne enthält auch einen Kill-Switch. Die Malware stoppt die Ausführung, wenn sie ein russisches Tastaturlayout erkennt.
Sicherheitsforscher beobachteten, wie Angreifer curl, osascript und andere native macOS-Dienstprogramme verwendeten, um Payloads direkt im Speicher auszuführen. Dies ist ein dateiloser Ansatz, der die Erkennung für Standard-Antiviren-Tools erschwert.
Angreifer zielen auf Krypto-Entwickler ab
Sicherheitsforscher von ANY[.]RUN entdeckten eine Operation der Lazarus-Gruppe namens „Mach-O Man“. Hacker verwendeten dieselbe ClickFix-Technik über gefälschte Meeting-Einladungen. Sie zielten auf FinTech- und Krypto-Maschinen ab, auf denen macOS verbreitet ist.
Cryptopolitan veröffentlichte über die PromptMink-Kampagne.
Ein böswilliges npm-Paket wurde durch eine KI-generierte Änderung der nordkoreanischen Gruppe Famous Chollima in ein Krypto-Handelsprojekt eingebracht. Unter Verwendung eines Zwei-Schichten-Paketansatzes erhielt die Malware Zugriff auf Wallet-Daten und Systemgeheimnisse.
Beide Kampagnen zeigen, dass Krypto-Wallet-Daten wertvoll sind. Angreifer passen ihre Liefermethoden von gefälschten Blogbeiträgen hin zu KI-unterstützten Supply-Chain-Kompromittierungen an, um daran zu gelangen.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Häufig gestellte Fragen
Was ist ClickFix und wie funktioniert es auf macOS?
ClickFix ist ein Social-Engineering-Angriff, der Benutzer dazu bringt, einen Befehl zu kopieren und in das Terminal einzufügen, wodurch Malware heruntergeladen und ausgeführt wird.
Welche Crypto-Wallets sind Ziel dieser Malware-Kampagne?
Exodus, Ledger und Trezor als Hauptziele. In einigen Fällen deinstallierten Angreifer echte Wallets und ersetzten sie durch trojanisierte Apps.
Hat Apple eine Lösung für den ClickFix-Terminal-Angriff veröffentlicht?
Apple hat in macOS 26.4 einen Schutz hinzugefügt, der das Einfügen von als potenziell bösartig eingestuften Befehlen in das Terminal blockiert. Es wird eine Warnung mit dem Text „Mögliche Malware, Einfügen blockiert“ angezeigt.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan, wo sie über Technologie, KI, Robotik, Krypto, Betrug und Hacks berichtet. Sie arbeitet seit 2017 im Krypto-Bereich. Zuvor war sie bei Forward Protocol, AmaZix und Cryptosomniac tätig. Randa besitzt einen Abschluss in Elektrotechnik und Elektronik der University of Bradford.
