Mobile-Menu

Cthulhu Stealer Malware-as-a-Service-Angriffe auf macOS

Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

FAST LTA GmbH
SEPPmail - Deutschland GmbH
FTAPI Software GmbH

Cthulhu Stealer wird als Malware-as-a-Service zwischen Cyberkriminellen vertrieben und ermöglicht den Datendiebstahl aus verschiedenen Quellen in macOS. Anwender können sich aber mit etwas Vorsicht vor den Angriffen schützen

Die macOS-Malware Cthulhu Stealer tarnt sich als Apple-Disk-Images bekannter Software und stiehlt Zugangsdaten und Kryptowährungs-Wallets aus der macOS Keychain und anderen Quellen.(Bild: Dall-E / KI-generiert)
Die macOS-Malware Cthulhu Stealer tarnt sich als Apple-Disk-Images bekannter Software und stiehlt Zugangsdaten und Kryptowährungs-Wallets aus der macOS Keychain und anderen Quellen.
(Bild: Dall-E / KI-generiert)

Das Sicherheitsunternehmen Cado hat sich die über Malware-as-a-Service vertriebene Malware Cthulhu Stealer genauer angeschaut.

Das steckt hinter Cthulhu Stealer

Cthulhu Stealer tarnt sich als Apple-Disk-Image (DMG) und enthält zwei Binärdateien, abhängig von der Architektur des Zielsystems. Die Schadsoftware ist in GoLang geschrieben und maskiert sich als legitime Software. Nach dem Mounten des DMG-Images wird der Benutzer aufgefordert, das vermeintliche Programm zu öffnen. In dem Moment, in dem der Benutzer die Datei öffnet, nutzt die Malware das macOS-Tool „osascript“, um das System nach dem Administrator-Passwort zu fragen.

Sobald das Passwort eingegeben wird, erscheint eine zweite Aufforderung, die das MetaMask-Passwort des Benutzers abfragt. Die gewonnenen Zugangsdaten speichert die Malware in einem Verzeichnis unter „/Users/Shared/NW“ in Textdateien. Zusätzlich verwendet Cthulhu Stealer das Tool „Chainbreak“, um die in macOS Keychain gespeicherten Passwörter auszulesen und diese in einer Datei namens „Keychain.txt“ abzulegen.

Ein weiterer Schritt der Malware besteht darin, die gestohlenen Daten in einer ZIP-Datei zu archivieren, die unter „/Users/Shared/NW/[Ländercode]Cthulhu_Mac_OS_[Datum]_[Zeit].zip“ gespeichert wird. Die Malware sendet eine Benachrichtigung an den Command-and-Control (C2) Server, um die Betreiber über neue gestohlene Daten zu informieren. Zudem sammelt Cthulhu Stealer systembezogene Informationen, einschließlich der IP-Adresse. Weitere Daten wie der Systemname, die OS-Version sowie Hardware- und Softwareinformationen werden ebenfalls erfasst und in einer Textdatei gespeichert.

Besonders gefährlich ist die Tatsache, dass Cthulhu Stealer sich als Disk-Images bekannter Software ausgibt, darunter „CleanMyMac“, „Grand Theft Auto IV“ (hierbei handelt es sich offenbar um einen Tippfehler für „VI“) und „Adobe GenP“. Die Hauptfunktion dieser Malware besteht im Diebstahl von Zugangsdaten und Kryptowährungs-Wallets aus verschiedenen Quellen. Dazu zählen auch Spielkonten, die in spezifischen Installationsverzeichnissen gespeichert sind, in denen die Malware gezielt nach Daten sucht und diese in Textdateien speichert.

So können sich Anwender schützen

Es empfiehlt sich, Software ausschließlich aus vertrauenswürdigen Quellen wie dem Apple App Store oder den offiziellen Websites der Entwickler herunterzuladen. Zudem sollten die eingebauten Sicherheitsfeatures von macOS, wie „Gatekeeper“, aktiviert bleiben, um die Installation von nicht verifizierten Apps zu verhindern. Durch eine Kombination aus Wachsamkeit und proaktiven Maßnahmen lässt sich das Risiko, Opfer von macOS-Malware zu werden, erheblich reduzieren, und die Systemsicherheit aufrechterhalten.

(ID:50145734)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte