Apple-Nutzer bestohlen: Trojaner umgeht Gatekeeper mit Terminal-Trick

Ein Klick auf vermeintliche Hilfeseiten reichte in diesem Sommer aus, und schon waren Mac-Nutzer mitten in einer perfiden Falle. Hinter der Angriffswelle steckt nach Erkenntnissen von Sicherheits­experten die Gruppe Cookie Spider.

Neue Malware-Kampagne bedroht macOS-Nutzer

Zwischen Juni und August 2025 versuchten Cyberkriminelle weltweit, über manipulierte Suchanzeigen Schadsoftware auf die Geräte ihrer Opfer zu schleusen - mit dem Ziel, an Passwörter, Kryptowährungs-Wallets und persönliche Daten zu gelangen.

Im aktuellen Fall setzten sie auf eine neue Variante des Datendiebs Atomic macOS Stealer (AMOS), die unter dem Namen SHAMOS bekannt ist. Die Sicherheitsspezialisten von CrowdStrike berichten, ihre Sicherheitsplattform Falcon habe die Kampagne erkannt und blockiert.

Gefälschte Hilfeseiten in Suchmaschinen

Doch wie versuchten die Cyberkriminellen nun, ihre Opfer in die Falle zu locken? Besonders heimtückisch war der Weg, den die Täter wählten. Wer nach Lösungen für macOS-Probleme suchte - etwa "flush resolver cache" -, bekam in den Suchergebnissen manipulierte Anzeigen eingeblendet.

Domains wie mac-safer.com oder rescue-mac.com gaben sich als offizielle Hilfeseiten aus. Dort wurden Nutzer aufgefordert, einen unscheinbaren Befehl ins Terminal zu kopieren. Dahinter verbarg sich ein Downloadskript, das das Passwort abgriff und Schadsoftware nachlud. Die Anzeigen erschienen international, etwa in den USA, Großbritannien, Japan, Kanada und Italien.

Umgehung von Schutzmechanismen

Mit ihrem Trick gelang es den Angreifern, Apples Gatekeeper-Sicherheitsprüfung zu umgehen. Nach der Installation prüfte SHAMOS zunächst, ob es in einer Testumgebung ausgeführt wurde, und begann anschließend mit einer systematischen Datensammlung. Ziel waren Keychain-Zugänge, Notizen, Browser-Logins und Krypto-Wallets. Die erbeuteten Informationen wurden in einer Datei gebündelt und unauffällig an die Hintermänner übermittelt. Infografik: Wo politische Cyberattacken ihren Ursprung haben

Gefahr auch durch Gratis-Software

Hatte die Malware Zugriff auf Sudo-Rechte, richtete sie zusätzlich einen dauerhaften Zugang ein, indem sie eine Plist-Datei im Systemordner LaunchDaemons platzierte. Neben dieser Variante entdeckten Sicherheitsexperten auch eine gefälschte Wallet-App und Bausteine für ein Botnetz.

Die Angreifer beschränkten sich aber laut Crowdstrike nicht auf Suchanzeigen. Auch über GitHub versuchten sie, ihre Schadsoftware zu verbreiten. Als kostenlose Tools getarnt - von vermeintlicher Videosoftware bis hin zu KI-Anwendungen - gelangten die Programme auf die Rechner ahnungsloser Nutzer.

So können sich Nutzer schützen

Die Kampagne macht deutlich: Auch Mac-Anwender sind längst ins Fadenkreuz professioneller Krimineller geraten. Verbraucher können sich mit einfachen Mitteln schützen:


So unscheinbar die Falle auf den ersten Blick auch wirken mag - die Kampagne zeigt, wie professionell Cyberkriminelle vorgehen und wie wichtig es ist, auch auf dem Mac aufmerksam und vorsichtig zu bleiben.

Habt ihr schon einmal verdächtige Terminal-Befehle auf vermeintlichen Hilfeseiten gesehen? Teilt eure Erfahrungen in den Kommentaren!


Siehe auch: