Trojanische Software lockt zum Download von fieser Proxy-Malware

Die Sicherheitsexperten von Kaspersky haben eine neue Bedrohung entdeckt, bei der über bekannte Warez-Sites Software angeboten wird, die malwareverseucht ist. Dabei kommt ein Proxy-Trojaner zum Einsatz, der die Opfer-PCs in ein Botnetz eingliedert.

Nicht nur Windows im Visier

Das geht aus einem Bericht des Online-Magazins Bleeping Computer hervor. Kaspersky zeigt dabei jetzt das große Risiko, das von den Proxy-Trojanern und den Anwendungen ausgeht. Dabei zielt eine der neueren Kampagnen nicht nur auf Windows-Nutzer, wie das klassischerweise der Fall ist, sondern versucht jetzt gezielt auch macOS-Nutzer anzulocken.

Die Kampagne nutzt die Bereitschaft der Menschen aus, die Sicherheit ihres Computers zu riskieren, um nicht für Premium-Anwendungen bezahlen zu müssen.


Kaspersky fand 35 Bildbearbeitungs-, Videokomprimierungs- und -bearbeitungs-, Datenwiederherstellungs- und Netzwerk-Scanning-Tools, die mit dem Proxy-Trojaner versehen waren.

Populäre trojanisierte Software der Kampagne:

Laut Kaspersky werden die trojanisierten Versionen im Gegensatz zu den legitimen Programmen, die als Disc-Images verteilt werden, als PKG-Dateien heruntergeladen. Im Vergleich zu Disc-Image-Dateien, die das Standard-Installationsmedium für diese Programme sind, sind PKG-Dateien wesentlich riskanter, da sie während der Installation der Anwendung Skripte ausführen können.

Da Installationsdateien mit Administratorrechten ausgeführt werden, erhalten alle Skripte, die sie ausführen, die gleichen hohen Berechtigungen. In diesem Fall werden die eingebetteten Skripte nach der Installation des Programms aktiviert, um den Trojaner, eine WindowServer-Datei, auszuführen und ihn als Systemprozess erscheinen zu lassen.

WindowServer ist ein legitimer Systemprozess in macOS, der für die Verwaltung der grafischen Benutzeroberfläche zuständig ist. Der Trojaner zielt also darauf ab, sich in routinemäßige Systemvorgänge einzuschleichen und sich der Kontrolle des Benutzers zu entziehen - und dabei möglichst unsichtbar zu bleiben.

Versteckte Dateien

Die Datei, die für den Start von WindowServer beim Betriebssystemstart zuständig ist, heißt "Google­Helper­Updater.plist" und imitiert eine Google-Konfigurationsdatei, wodurch sie sich als legitime Datei ausgibt, um unter dem Radar zu bleiben. Nach dem Start stellt der Trojaner über DNS-over-HTTPS (DoH) eine Verbindung zu seinem C2-Server (Command and Control) her, um Befehle zu erhalten.

Neben der macOS-Kampagne hostet dieselbe C2-Infrastruktur Proxy-Trojaner-Nutzlasten für Android- und Windows-Architekturen, sodass dieselben Betreiber wahrscheinlich ein breites Spektrum von Systemen anvisieren.
Siehe auch: