Mac-Malware verbreitet sich über scheinbar harmlose Projekte

Sicherheitsforscher beobachten neue Methoden zur Verbreitung von Schadsoftware für macOS. Nach Angaben des Sicherheitsunternehmens Jamf Threat Labs nutzen Angreifer zunehmend öffentlich zugängliche Softwareprojekte wie GitHub-Repositories und KI-Workflows sowie automatisierte Entwicklungsabläufe, um Schadprogramme zu verbreiten.

Die Kampagne wird in Anlehnung an das populäre Framework OpenClaw unter dem Namen „GhostClaw“ geführt und zielt darauf ab, Zugangsdaten von Nutzern auszuspähen.

Schadsoftware-Beispiele von Jamf

Ursprünglich sei die Schadsoftware über manipulierte Softwarepakete verbreitet worden. Inzwischen setzten die Angreifer jedoch verstärkt auf Plattformen für Softwareentwicklung, insbesondere auf frei zugängliche Projektverzeichnisse. Die Projekte würden sich als nützliche Programme darstellen, etwa als Entwicklerwerkzeuge oder automatisierte Handelsprogramme. Durch Aktivitäten wie häufige Aktualisierungen oder die Einbindung bestehender Projekte könnten sie den Eindruck seriöser Software vermitteln.

Nach Einschätzung der Forscher richtet sich die Bedrohung inzwischen nicht mehr ausschließlich an professionelle Entwickler. Auch Nutzer ohne tiefgehende Programmierkenntnisse könnten betroffen sein, wenn sie Installationsbefehle aus Online-Anleitungen übernehmen oder automatisierte Werkzeuge einsetzen, die fremden Code ausführen. In solchen Fällen bestehe das Risiko, dass Schadsoftware unbemerkt ausgeführt wird. Während Fortschrittsanzeigen oder Erfolgsmeldungen angezeigt werden, versucht die Schadsoftware im Hintergrund sensible Daten zu erfassen.

Mehrstufige Angriffsketten erschweren Erkennung

Die Sicherheitsforscher berichten von mehreren Projekten, die auf eine gemeinsame technische Infrastruktur zurückzuführen sind. In einem mehrstufigen Verfahren wird zunächst ein Installationsskript ausgeführt. Anschließend können weitere Schadprogramme nachgeladen oder dauerhafte Zugänge zum System eingerichtet werden.

Sicherheitsforscher raten daher, Installationsbefehle aus Internetquellen sorgfältig zu prüfen, bevor sie ausgeführt werden. Dies gelte insbesondere für Programme aus frei zugänglichen Projektverzeichnissen oder automatisierten Entwicklungsumgebungen. Eine detaillierte Analyse haben die Sicherheitsforscher hier veröffentlicht.