Mac-Trojaner "SabPub" nutzt ebenfalls Java-Lücke

Sicherheitsexperten sind auf einen neuen Trojaner für Mac-OS-X-Systeme, der eine gewisse Ähnlichkeit zum Flashback-Schädling aufweist, aufmerksam geworden. Bezeichnet wird dieser als Backdoor.OSX.SabPub.a oder SX/Sabpab-A. SabPub zielt ähnlich wie Flashback auf Schwachstellen in Java unter den Apple-Betriebssystemen ab und kann gefundene Sicherheitslücken ohne das Zutun der Anwender ausnutzen. Im Vergleich mit Flashback gibt es allerdings einen zentralen Unterschied. Denn SabPub wird bisher nur für zielgerichtete Attacken eingesetzt.

Nach einer erfolgreichen Infektion verhält sich der Mac-Schädling wie es für gängige Trojaner üblich ist. Über eine HTTP-Verbindung kontaktiert der Trojaner einen Command-and-Control-Server (C&C) und wartet anschließend auf weitere Anweisungen. Um die Aktivitäten der Malware überwachen zu können, setzen die Autoren auf verschlüsselte Log-Dateien.

Im Hinblick auf den Funktionsumfang bringt SabPub gängige Features mit. Dazu gehören das Hoch- und Herunterladen von Dateien, das Anfertigen von Screenshots und das Ausführen von Befehlen auf den übernommenen Systemen.

Der SabPub-Trojaner wurde augenscheinlich am 16. März dieses Jahres in der aktuell bekannten Form angefertigt. Die genaue Analyse der Malware gestaltete sich für die Sicherheitsexperten nicht sonderlich schwierig, da der Trojaner mit Debug-Informationen kompiliert wurde. Insofern liegt es nahe, dass es sich noch nicht um eine finale Ausführung von SabPub handelt.

Zumindest im Moment kann man nicht von einer großen Verbreitung des Mac-Trojaners sprechen. Geht es um die Sicherheitslücken, so zielt der Schädling auf bekannte Lücken in Java ab. Der Code wurde mit einem speziellen Werkzeug so angepasst, dass gängige Sicherheitslösungen den Schädling nicht erkennen sollen.

Zum Schutz der eigenen Systeme wird allen Mac-Nutzern zur Installation eines kürzlich veröffentlichten Java-Updates geraten.