{"id":179352,"date":"2016-07-13T13:29:06","date_gmt":"2016-07-13T11:29:06","guid":{"rendered":"http:\/\/www.borncity.com\/blog\/?p=179352"},"modified":"2022-06-22T00:46:39","modified_gmt":"2022-06-21T22:46:39","slug":"mac-malware-zielt-auf-anmeldedaten","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2016\/07\/13\/mac-malware-zielt-auf-anmeldedaten\/","title":{"rendered":"Mac-Malware zielt auf Anmeldedaten"},"content":{"rendered":"

Die Zeiten, als Macs keine Malware kannten, sind l\u00e4ngst vorbei. Sicherheitsanbieter ESET warnt vor einer neuen Malware, die Mac OS adressiert und es auf Anmeldedaten abgesehen hat.<\/p>\n

<\/p>\n

Die als OS X\/Keydnap bekannte Malware versucht, eine permanente Backdoor zu installieren und unbemerkt Anmeldedaten von Nutzern auszusp\u00e4hen.<\/p>\n

Unbekannter Infektionsweg<\/h2>\n

Bisher ist noch nicht klar, wie OS X\/Keydnap unter Mac OS verteilt wird. ESET tippt auf Spam-Nachrichten, Downloads von nicht vertrauensw\u00fcrdigen Quellen oder manipulierte E-Mail-Anh\u00e4nge als Verbreitungsweg. Bislang bekannt ist, dass \u00fcber eine .zip Datei ein Downloader verbreitet wird.<\/p>\n

Die Archivdatei enth\u00e4lt eine ausf\u00fchrende Mach-O-Datei mit einer Endung wie .txt oder .jpg, die Vertrauen erwecken soll. Allerdings enthalten die Dateiendungen zus\u00e4tzlich ein Leerzeichen am Ende. Damit die Chance erh\u00f6ht wird, dass der User auf die Dateien klickt, ahmen sie bekannte Icons nach. Einmal gestartet, \u00f6ffnet sich das Terminal-Fenster und die b\u00f6swillige Nutzlast wird ausgef\u00fchrt.<\/p>\n

Funktionsweise des Keydnap Downloaders<\/h2>\n

Die Funktionsweise des Keydnap Downloaders ist simpel:<\/p>\n

    \n
  1. Er l\u00e4dt ein Backdoor herunter und installiert es<\/li>\n
  2. Der Inhalt der Mach-O-Datei wird durch einen K\u00f6der ersetzt \u2013 entweder eine eingebettete oder durch eine aus dem Internet heruntergeladene Datei<\/li>\n
  3. \u00d6ffnen des K\u00f6der-Dokuments<\/li>\n
  4. Schlie\u00dfen des Terminal-Fensters, das kurz ge\u00f6ffnet wurde<\/li>\n<\/ol>\n

    Der Downloader ist nicht dauerhaft. Allerdings f\u00fcgt die heruntergeladene Backdoor einen Eintrag in das LaunchAgents-Verzeichnis hinzu, um zuk\u00fcnftige Neustarts von Mac OS zu \u00fcberleben. Die OS X\/Keydnap Backdoor ist mit einem Mechanismus ausgestattet, der Passw\u00f6rter und Schl\u00fcssel abfangen und auslesen kann, die in OS X Keychain gespeichert sind.<\/p>\n

    Sicherheitsmechanismen werden umgangen<\/h2>\n

    Zwar gibt es mehrere Sicherheitsmechanismen in OS X, die f\u00fcr Malware ein Hindernis darstellen. Dennoch ist es m\u00f6glich, die Sandbox des Users zu umgehen und b\u00f6sartigen Code einzuschleusen, indem im Prinzip einfach das Symbol einer Mach-O-Datei ersetzt wird.Die ausf\u00fchrliche Analyse findet sich im deutschsprachigen Blog<\/a> von ESET.<\/p>\n","protected":false},"excerpt":{"rendered":"

    Die Zeiten, als Macs keine Malware kannten, sind l\u00e4ngst vorbei. Sicherheitsanbieter ESET warnt vor einer neuen Malware, die Mac OS adressiert und es auf Anmeldedaten abgesehen hat.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1063],"tags":[4945,1018,4328],"class_list":["post-179352","post","type-post","status-publish","format-standard","hentry","category-mac-os-x","tag-mac-os","tag-malware","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/179352","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=179352"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/179352\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=179352"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=179352"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=179352"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}