Sicherheitsexperten von Jamf Threat Labs haben eine neue Welle von Cyberangriffen identifiziert, die gezielt auf Nutzer des Betriebssystems macOS abzielen.
Im Rahmen der laufenden Kampagne, die unter dem Namen „Contagious Interview“ bekannt ist, wurden insgesamt 14 gefälschte Installer entdeckt. Diese bösartigen Dateien dienen dazu, eine hochentwickelte Schadsoftware auf den Rechnern der Opfer zu platzieren. Die Urheber der Kampagne werden staatlich gestützten Akteuren aus der Demokratischen Volksrepublik Korea (DPRK) zugerechnet.
Die identifizierten Schadprogramme nutzen das Vertrauen der Anwender in etablierte Softwarelösungen aus. Den Untersuchungen zufolge tarnen sich die präparierten Installationsdateien, die sowohl im DMG- als auch im PKG-Format vorliegen, als bekannte Anwendungen. Zu den missbrauchten Markennamen gehören unter anderem das Komprimierungswerkzeug The Unarchiver, das Grafikdesign-Tool Sketch sowie die Systemerweiterung Bartender.
Funktionsweise des OtterCookie-Trojaners
Das primäre Ziel dieser gefälschten Installer ist die Infektion des Systems mit einem Remote Access Trojaner (RAT), den die Forscher als OtterCookie bezeichnen. Dieser Schadcode verfügt über umfangreiche Spionagefunktionen, die darauf ausgelegt sind, sensible Informationen unbemerkt zu extrahieren. Sobald OtterCookie auf einem macOS-System aktiv ist, beginnt die Software mit dem Ausspähen von Zugangsdaten.
Besonderes Augenmerk legen die Angreifer dabei auf Browser-Daten und Informationen zu Kryptowährungs-Wallets. Neben dem Diebstahl von Log-in-Informationen ist der Trojaner in der Lage, lokale Dateien systematisch zu scannen.
Angriffe auf sensible Browser-Daten und Passwörter nehmen massiv zu, wobei herkömmliche Anmeldeverfahren oft die größte Schwachstelle darstellen. Dieser kostenlose Report zeigt, wie Sie Ihre Online-Konten mit moderner Technologie effektiv vor Datenklau schützen. Sicherheits-Alternative gegen Hacker jetzt gratis nachlesen
Eine weitere kritische Funktion ist die Überwachung der Zwischenablage. Hierdurch können die Hintermänner der Kampagne potenziell Passwörter, private Schlüssel oder vertrauliche Textpassagen abgreifen, die Nutzer kopieren und einfügen.
Einordnung der Kampagne „Contagious Interview“
Die Entdeckung der 14 manipulierten Installer liefert neue Erkenntnisse über die Vorgehensweise der nordkoreanischen Kampagne „Contagious Interview“. Branchenbeobachter wiesen in der Vergangenheit bereits darauf hin, dass diese Kampagne häufig soziale Interaktionen, wie etwa vorgetäuschte Bewerbungsgespräche oder technische Tests, nutzt, um Opfer zur Installation von Schadsoftware zu bewegen.
Die aktuelle Identifizierung der gefälschten App-Installer zeigt eine Erweiterung der Taktik, bei der nun auch die Reputation populärer macOS-Software direkt ausgenutzt wird.
Wer sich mit dem Schutz vor Spionage-Software befasst, erkennt schnell, dass Passwörter allein kein ausreichendes Hindernis mehr für professionelle Angreifer sind. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie den Zugriff auf Ihre Konten bei Amazon, WhatsApp und Co. durch passwortlose Anmeldung absichern. Kostenlosen PDF-Report für maximale Konten-Sicherheit sichern
Die Wahl der Anwendungen – Sketch und Bartender – deutet darauf hin, dass die Angreifer insbesondere professionelle Anwender, Designer und Power-User im Visier haben.
Da macOS in kreativen Berufen und der Softwareentwicklung weit verbreitet ist, stellt die gezielte Kompromittierung dieser Nutzergruppen ein erhebliches Risiko für Unternehmen dar, da über die infizierten Endgeräte auch Zugriff auf Firmennetzwerke oder sensible Projektdateien erlangt werden könnte.
Empfehlungen für Unternehmen und Privatanwender
Sicherheitsexperten raten macOS-Nutzern zur erhöhten Vorsicht beim Download von Software aus inoffiziellen Quellen. Da sich die schädlichen Dateien optisch kaum von den Originalen unterscheiden, bleibt die Verifizierung der Quelle die wichtigste Verteidigungslinie. Unternehmen sollten zudem ihre Endpunkt-Sicherheitslösungen daraufhin überprüfen, ob sie Signaturen und Verhaltensmuster des OtterCookie-Trojaners bereits zuverlässig erkennen können.
Die kontinuierliche Überwachung von Systemprozessen auf ungewöhnliche Aktivitäten, wie etwa unerwartete Zugriffe auf die Zwischenablage oder das Scannen von Verzeichnissen durch Hintergrundprozesse, wird als notwendige Schutzmaßnahme eingestuft. Die Entdeckungen von Jamf Threat Labs unterstreichen, dass die Bedrohungslage für macOS-Systeme durch staatlich finanzierte Akteure quantitativ und qualitativ zunimmt.
