Die besten Krypto-Einblicke direkt in Ihren Posteingang.
Die Malware Reaper kapert den Skripteditor, um Krypto-Wallets auf macOS zu plündern
- Reaper ist ein macOS-Infostealer, der sich über gefälschte Downloadseiten für WeChat und Miro verbreitet.
- Die Schadsoftware zielt auf Krypto-Wallets wie Ledger, Trezor und Exodus, Browserpasswörter und sensible Dokumente ab.
- Dies ist die dritte Kampagne innerhalb von weniger als zwei Monaten, bei der diese automatisierte ClickFix-Variante gegen Mac-Nutzer eingesetzt wird.
Eine neue Art von Mac-Malware namens Reaper verbreitet sich über gefälschte Downloadseiten für Apps wie WeChat und Miro. Sobald sie ins System eingedrungen ist, stiehlt sie Daten aus Krypto-Wallets und gespeicherte Browserpasswörter.
Es handelt sich um eine raffiniertere Version eines älteren Tricks, mit dem man früher dazu verleitet wurde, schädliche Befehle in das Terminal einzufügen. Apple hat diese Sicherheitslücke in einem kürzlich erschienenen macOS-Update geschlossen, doch Reaper hat einen Weg gefunden, sie zu umgehen, indem es ein anderes, in Apple integriertes Tool nutzt, um denselben Schaden anzurichten.
Der Skripteditor ersetzt das Terminal als Malware-Oberfläche
Die gefälschten Downloadseiten rufen den Skripteditor über eine AppleScript- (applescript:// .
Der Schadcode ist unsichtbar. Angreifer verbergen ihn mithilfe von ASCII-Art und Leerzeichen. Wenn ein Benutzer im Skripteditor auf die Wiedergabetaste klickt, führt er unwissentlich versteckte Befehle aus.
Der Skripteditor ist auf jedem Mac vorinstalliert. Die meisten Menschen haben keinen Bezug zu Viren.
Typosquatting-Domains und gefälschte Apple-Updates schaffen Vertrauen
Der Angriff beginnt mit gefälschten Domains, die für potenzielle Opfer legitim aussehen. Sicherheitsforscher entdeckten Infrastruktur, die auf durch Typosquatting entstandenen Microsoft-Domains gehostet wurde, darunter mlcrosoft[.]co[.]com.
Sobald das Skript ausgeführt wird, fordert ein gefälschter Dialog über ein Apple-Sicherheitsupdate das Opfer zur Eingabe seines Computerpassworts auf.
Reaper überprüft anschließend das Tastaturlayout des Systems. Ist die Tastatur auf Russisch konfiguriert, stoppt die Schadsoftware. Andernfalls aktiviert sie ein Datendiebstahlmodul, das dem Atomic macOS Stealer (AMOS) nachempfunden ist.
Krypto-Wallets, Browser und Dokumente sind alle betroffen
Reaper zielt auf Desktop-Kryptoanwendungen ab, darunter Ledger Live, Trezor Suite und Exodus. Die Schadsoftware verändert den internen Code von Krypto-Wallets, um zukünftige Transaktionen abzufangen und Gelder umzuleiten.
Der Datendieb sammelt außerdem gespeichertedentaus Chrome, Firefox und Edge. Er greift auch auf Daten von Browsererweiterungen wie 1Password und MetaMask zu.
Dateien mit .docx, .pdf, .xlsx, .walletund .keys, die sich in den Ordnern Desktop und Dokumente befinden, werden in 70 MB große ZIP-Blöcke komprimiert und auf einen externen Command-and-Control-Server hochgeladen.
Bei einem anhaltenden Angriff installiert Reaper eine Hintertür, die als Google Software Update-Verzeichnis getarnt ist.
Laut einer Analyse von Moonlock ist Reaper die dritte Kampagne innerhalb von etwa zwei Monaten, die diesen automatisierten AppleScript-Ansatz einsetzt.
Das Defender Security Research Team von Microsoft dokumentierte eine Reihe damit zusammenhängender Kampagnen, bei denen gefälschte macOS-Fehlerbehebungsanleitungen auf Medium, Craft und Squarespace veröffentlicht wurden, worüber Cryptopolitan bereits berichtet hatte.
Diese Kampagnen nutzten dieselbe ClickFix-Methode, um AMOS, Macsync und SHub Stealer über Terminalbefehle zu verbreiten. Laut Cryptopolitanwurden die originalen Wallet-Apps gelöscht und unbemerkt durch schädliche Versionen ersetzt.
Überprüfen Sie Download-Links sorgfältig, bevor Sie etwas Neues installieren. Geben Sie Ihr Mac-Passwort nicht ein, wenn Sie unerwartet dazu aufgefordert werden. Ein gutes Sicherheitstool erkennt verschleierte Skripte, bevor sie Schaden anrichten können. Schließen Sie Tabs von Webseiten, die Sie zum Öffnen des Skripteditors auffordern.
Lesen Sie Krypto-News nicht nur, sondern verstehen Sie sie. Abonnieren Sie unseren Newsletter. Er ist kostenlos.
Häufig gestellte Fragen
Was ist die Reaper macOS-Malware?
Reaper ist eine aktualisierte Variante von SHub Stealer, die Apples Script Editor nutzt, um versteckten Schadcode auszuführen. Es sucht nach Krypto-Wallets, Browser-dentund persönlichen Dokumenten.
Welche Krypto-Wallets hat es auf Reaper abgesehen?
Reaper zielt auf die Desktop-Anwendungen Ledger Live, Trezor Suite und Exodus sowie auf Browser-Erweiterungen wie MetaMask und 1Password ab.
Wie umgeht Reaper die Terminal-Schutzmechanismen von Apple unter macOS?
Reaper umgeht das Terminal und öffnet den Skripteditor über eine URL. Der Schadcode ist unterhalb des sichtbaren Bildschirms durch Leerzeichen versteckt und wird von den Opfern unwissentlich durch Klicken auf „Ausführen“ ausgeführt.
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan und berichtet über Technologie, KI, Robotik, Kryptowährungen, Betrug und Hackerangriffe. Sie ist seit 2017 in der Krypto-Branche tätig und arbeitete zuvor bei Forward Protocol, AmaZix und Cryptosomniac. Randa hat einen Abschluss in Elektrotechnik undtronvon der Universität Bradford.
CRASH-KURS
- Mit welchen Kryptowährungen kann man Geld verdienen?
- Wie Sie Ihre Sicherheit mit einer digitalen Geldbörse erhöhen können (und welche sich tatsächlich lohnen)
- Wenig bekannte Anlagestrategien, die Profis anwenden
- Wie man mit dem Investieren in Kryptowährungen beginnt (welche Börsen man nutzen sollte, welche Kryptowährung am besten zum Kauf geeignet ist usw.)