Malware für Mac Crimeware Toolkit und Fake AV infizieren Mac OS X via Browser

Die Popularität von Mac OS X nimmt zu – und damit auch die Gefahr von Schadcode-Attacken auf Apple-Rechner. Die dänische CSIS Security Group ist in Untergrund-Foren auf ein Crimeware Toolkit gestoßen. Außerdem kursiert derzeit eine kostenpflichtige aber gefälschte Antivirus-Software namens MacDefender, die sich als Trojaner-Downloader entpuppt.

Anbieter zum Thema

SonicWall Germany

SEPPmail - Deutschland GmbH

Rapid7 Germany

„Building Better Worlds“, so lautet in den Alien-Filmen der Firmenslogan des interstellaren Unternehmens Weyland-Yutani. In Wahrheit steht das Unternehmen jedoch für das Böse, ist profitorientiert und manipulativ – und damit ein hervorragender Namensgeber für eine Malware.

Mit dem Weyland-Yutani BOT wird über kriminelle Foren derzeit ein Crimeware-Toolkit feilgeboten, das es speziell auf Mac-Nutzer abgesehen hat. Das Toolkit ermöglicht Web-Injektionen und Formulardaten-Diebstahl, bislang allerdings nur unter Firefox. Die Browser Chrome und Safari würden aber bald folgen, schätzt der Sicherheitsexperte Peter Kruse in einem Blog-Eintrag der CSIS Security Group.

Um sich selbst zu tarnen, verfügt Weyland-Yutani BOT über Verschlüsselungs-Mechanismen. Weiter schreibt Kruse, dass die Webinject-Templates mit denen der Trojaner Zeus und Spyeye identisch sind. Es ist zudem nicht auszuschließen, dass ein entsprechendes Toolkit für das iPad entwickelt wird.

Weitere Informationen lägen auch der CSIS Security Group noch nicht vor, da die Malware-Autoren ihre Inhalte nur überprüften Foren-Nutzern offenbaren. Ein Youtube-Video zeigt, wie der Passwort-Klau unter Mac OS X funktioniert.

Fake AV nun auch für Mac-Nutzer

Damit nicht genug, wird aktuell eine Antivirus-Lösung für Mac beworben, die sich jedoch als gefälschte bzw. bösartige Software entpuppt. In einem Apple Support Forum häufen sich die Beschwerden von Mac-Nutzern, die 99 US-Dollar für das unnütze Fake-AV-Programm bezahlt und damit gleichzeitig ihre Kreditkartendaten preisgegeben haben.

Ein Betroffener wurde offensichtlich während der Nutzung von Google Images gewarnt, sein Mac-System sei von Schadcode befallen. Abhilfe schaffe nur der MacDefender. Die gefälschte Antivirus-Lösung wird also offensichtlich über manipulierte Webseiten via Drive-by-Download verteilt.

Lädt ein Anwender den MacDefender herunter, so kann sich der Trojaner über die automatische Installer-Funktion des Safari-Browsers selbst installieren. In Folge der Infektion wird weiterer Schadcode nachgeladen. Einmal installiert, lässt sich die Software lässt nur entfernen, wenn der entsprechende Hintergrund-Prozess manuell über den Activity Monitor gekillt wird.

(ID:2051221)