Kriminelle tricksen ihre Malware über Google-Werbung zu den Opfern

Sicherheitsforscher warnen vor einer neuen kriminellen Kampagne, die sich für die Verbreitung vor allem auf klassische Google-Werbung verlässt. Über diese werden bestimmte Nutzer gezielt zu Download-Seiten gelockt, über die Malware verbreitet wird.

Entwickler im Visier

Im Visier stehen aktuell vor allem MacOS-Entwickler. Gefälschte Auftritte von Homebrew, LogMeIn und TradingView locken diese mit manipulierten Downloadseiten und verleiten Opfer dazu, schädliche Terminal-Befehle auszuführen. Die Schadsoftware, darunter der Infostealer AMOS (Atomic macOS Stealer) und die Familie "Odyssey", wird so unter tatkräftiger Hilfe der Opfer geladen und aktiviert.

Das Threat-Hunting-Team von Hunt.io entdeckte mehr als 85 Domains, die die drei Dienste nachahmen. Recherchen von des US-Magazins BleepingComputer zeigen außerdem, dass einige dieser Seiten über Google Ads beworben wurden. Das ist ein Versuch, die Seiten in Suchergebnissen glaubwürdiger erscheinen zu lassen. Die gefälschten Portale präsentieren täuschend echte Installationsanweisungen: Nutzer sollen per Copy-Button einen curl-Befehl in die Zwischenablage kopieren und im MacOS-Terminal ausführen.


Statt der erwarteten Cloudflare-Verifizierungsnummer landet jedoch ein base64-kodierter Installationsbefehl in der Zwischenablage. Dieser lädt ein Skript, dekodiert und führt es aus. Das Skript entfernt Quarantäne-Attribute, um Gatekeeper-Warnungen zu umgehen, lädt eine Binärdatei herunter und führt diese nach Prüfungen auf virtuellen Maschinen oder Analyseumgebungen aus. Als Nächstes fordert die Malware erhöhte Rechte über sudo an und beginnt mit der Erfassung detaillierter Hardware- und Speichernutzungsdaten.

Die Schadprogramme agieren subtil: Sie beenden etwa Updater-Daemons wie den von OneDrive und nutzen MacOS-XPC-Services, um ihre Aktivitäten mit legitimen Systemprozessen zu verschleiern. Anschließend aktivieren sie Info-Stealing-Module und stehlen unter anderem Zugangsdaten, Browser-Cookies, Krypto-Wallet-Informationen und Keychain-Daten an Command-and-Control-Server.

Nicht einfach kopieren

AMOS, erstmals im April 2023 beschrieben, wird als Malware-as-a-Service angeboten (Berichten zufolge für etwa 1.000 Dollar pro Monat) und erhielt zuletzt eine Backdoor-Komponente für persistente Fernzugriffe. Odyssey Stealer, eine neuere Ableitung mit Wurzeln in Poseidon/AMOS, sammelt speziell Browserdaten, Wallet-Extensions und persönliche Dateien und verschickt sie als ZIP-Archiv.

Experten raten Entwicklern und Anwendern dringend, keine Terminal-Befehle aus unbekannten oder nicht vertrauenswürdigen Quellen einzufügen. Wer unsicher ist, sollte die Befehle vor dem Ausführen prüfen, indem sie etwa erst einmal in einen Texteditor eingefügt werden, oder fachkundige Hilfe in Anspruch nehmen.


Siehe auch: