Reaper-Malware kapert Script Editor, um Krypto-Geldbörsen auf macOS zu leeren
- Reaper ist ein macOS-Infostealer, der sich über gefälschte Download-Seiten für WeChat und Miro verbreitet.
- Die Malware zielt auf Krypto-Wallets wie Ledger, Trezor und Exodus sowie auf Browser-Passwörter und sensible Dokumente ab.
- Dies ist die dritte Kampagne innerhalb von weniger als zwei Monaten, die diese automatisierte ClickFix-Variante gegen Mac-Nutzer einsetzt.
Eine neue Art von Mac-Malware namens Reaper verbreitet sich über gefälschte Download-Seiten für Apps wie WeChat und Miro. Sobald sie eindringt, stiehlt sie Daten aus Krypto-Geldbörsen und gespeicherte Browser-Passwörter.
Es handelt sich um eine intelligentere Version eines älteren Tricks, der Menschen einst dazu brachte, bösartige Befehle in das Terminal einzufügen. Apple hat diese Lücke in einem kürzlichen macOS-Update geschlossen, aber Reaper fand einen Umweg und nutzt ein anderes integriertes Apple-Tool, um denselben Schaden anzurichten.
Script Editor ersetzt Terminal als Angriffsfläche für Malware
Die gefälschten Download-Seiten lösen Script Editor über ein AppleScript aus applescript:// URL.
Der bösartige Code ist unsichtbar. Angreifer verbergen ihn mittels ASCII-Kunst und Leerzeichen. Wenn ein Benutzer auf die Play-Schaltfläche in Script Editor klickt, führt er unbewusst versteckte Befehle aus.
Script Editor ist auf jedem Mac-Computer vorinstalliert. Die meisten Menschen verbinden damit keine Viren.
Typosquatting-Domains und gefälschte Apple-Updates schaffen Vertrauen
Der Angriff beginnt auf gefälschten Domains, die für potenzielle Opfer legitim aussehen. Sicherheitsexperten haben Infrastruktur auf Typosquatting-Domains von Microsoft entdeckt, darunter mlcrosoft[.]co[.]com.
Sobald das Skript ausgeführt wird, erscheint ein betrügerischer Dialog für ein Apple-Sicherheitsupdate, der den Opfer zur Eingabe seines Computer-Passworts auffordert.
Reaper überprüft anschließend das Tastaturlayout des Systems. Wenn die Tastatur auf Russisch konfiguriert ist, stoppt die Malware. Wenn nicht, aktiviert die Malware ein Datendiebstahl-Modul, das auf dem Atomic macOS Stealer (AMOS) basiert.
Krypto-Geldbörsen, Browser und Dokumente sind alle Ziele
Reaper zielt auf Desktop-Krypto-Anwendungen ab, darunter Ledger Live, Trezor Suite und Exodus. Die Malware modifiziert den internen Code von Krypto-Geldbörsen, um zukünftige Transaktionen abzufangen und Gelder umzuleiten.
Der Stealer sammelt auch gespeicherte Zugangsdaten aus Chrome, Firefox und Edge. Er extrahiert ebenfalls Daten aus Browser-Erweiterungen wie 1Password und MetaMask.
Dateien mit .docx, .pdf, .xlsx, .wallet, und .keys Erweiterungen, die in den Ordnern Desktop und Dokumente gefunden werden, werden in 70 MB große ZIP-Archive komprimiert und auf einen externen Command-and-Control-Server hochgeladen.
Für einen persistenten Angriff installiert Reaper einen Backdoor, der als Google Software Update-Verzeichnis getarnt ist.
Laut der Analyse von Moonlock ist Reaper die dritte Kampagne innerhalb von etwa zwei Monaten, die diesen automatisierten AppleScript-Ansatz übernommen hat.
Das Microsoft Defender Security Research Team hat eine verwandte Reihe von Kampagnen dokumentiert, die gefälschte macOS-Fehlerbehebungsanleitungen umfassen, die auf Medium, Craft und Squarespace veröffentlicht wurden, was Cryptopolitan zuvor berichtete.
Diese Kampagnen nutzten denselben ClickFix-Ansatz, um AMOS, Macsync und SHub Stealer über Terminal-Befehle zu liefern. Echte Wallet-Apps wurden gelöscht und stillschweigend durch bösartige Versionen ersetzt, so Cryptopolitan.
Überprüfen Sie Download-Links, bevor Sie etwas Neues installieren. Wenn ein Popup unerwartet nach Ihrem Mac-Passwort fragt, geben Sie es nicht ein. Ein gutes Sicherheitstool erkennt verschleierte Skripte, bevor sie Schaden anrichten. Wenn eine Website Sie auffordert, Script Editor zu öffnen, schließen Sie den Tab.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Häufig gestellte Fragen
Was ist die Reaper macOS-Malware?
Reaper ist eine aktualisierte Variante des SHub Stealers, die den Apple Script Editor ausführt, um versteckten schädlichen Code auszuführen. Er sucht nach Krypto-Wallets, Browser-Anmeldeinformationen und persönlichen Dokumenten.
Welche Krypto-Wallets zielt Reaper ab?
Reaper zielt auf die Desktop-Anwendungen Ledger Live, Trezor Suite und Exodus sowie auf Browser-Erweiterungen wie MetaMask und 1Password ab.
Wie umgeht Reaper den macOS-Terminal-Schutz von Apple?
Reaper umgeht das Terminal und nutzt ein URL-Schema, um den Script Editor zu öffnen. Der bösartige Code wird durch Leerzeichen unterhalb des sichtbaren Bildschirms verborgen, und Opfer führen ihn unbeabsichtigt aus, indem sie auf „Play“ klicken.
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan, wo sie über Technologie, KI, Robotik, Krypto, Betrug und Hacks berichtet. Sie arbeitet seit 2017 im Krypto-Bereich. Zuvor war sie bei Forward Protocol, AmaZix und Cryptosomniac tätig. Randa besitzt einen Abschluss in Elektrotechnik und Elektronik der University of Bradford.
