Fruitfly: Spionage-Malware für Macs schnüffelte jahrelang unbemerkt

Ein Sicherheitsforscher hat eine schon mindestens fünf Jahre alte Mac-Malware entdeckt, mit der Nutzer ausspioniert werden können. Der Fruit­fly genannte Schädling betätigt sich als Tastatur-Keylogger und kann Webcam-Aufnahmen und Screenshots via Internet an einen Über­wach­ungs-Server schicken. Welchem Zweck die Malware diente, ist bislang nicht klar. Bei der vom Sicherheitsspezialisten Patrick Wardle entdeckten Malware handelt es sich um eine bislang unbekannte Variante der Fruitfly-Schnüf­fels­oft­ware. Diese war bereits im Januar von Malwarebytes entdeckt worden. Die von Wardle ge­fundene Variante solle zum Aus­spio­nie­ren von Privatpersonen in den USA genutzt worden sein. Über nicht mehr genutzte Do­mai­ns eines inzwischen abgeschalteten Schnüffel-Servers konnten fast 400 infizierte Mac-Sys­te­me ermittelt werden, die Mehrzahl dabei befand sich in Wohnhäusern in den USA.

"Perverser" Spion

Fruitfly kann Tastaturaufnahmen mitschneiden, Screenshots anfertigen und die Webcam des Macs aktivieren. Spezielle Funktionen zum Aus­spio­nie­ren von Bankdaten gebe es aber laut Wardle nicht, weshalb der Sicherheitsforscher ei­ne finanzielle Motivation hinter Fruitfly aus­schließt. Er vermutet vielmehr ein "per­ver­ses In­te­res­se" am Ausspionieren von Nutzern als Motiv. In Bezug auf die bereits bekannte Fruitfly-Variante war zunächst spekuliert wor­den, sie diente der Wirtschaftsspionage in bio­me­di­zinischen Forschungseinrichtungen. US-Privatanwender als Ziel

Um herauszufinden, wer hinter Fruitfly steckt, nutzte Wardle eine Liste von Backup-Domains für den Steuerserver, von denen mittlerweile keine mehr aktiv ist. Genutzt werde Fruitfly da­her wohl nicht mehr. Durch das erneute Anmelden einer der Domains konnte Wardle al­ler­dings die infizierten Rechner aus der Ferne kontrollieren. Auf diesem Weg fand er heraus, dass sich die betroffenen Systeme vorwiegend in Privatanwesen in den USA befanden.

Ziemlich alte Mac-Malware

Wie viele Systeme von diversen Fruitfly-Varianten infiziert wurden, ist nicht bekannt. Die von Malwarebytes aufgespürte Version nutzt noch Funktionen, die aus Zeiten vor Mac OS X aus dem Jahr 2000 stammten. Eine Anpassung für das im Herbst 2014 erschienene OS X 10.0 Yosemite seien aber ebenfalls nachweisbar. In Apples macOS wird diese Fruitfly-Variante durch die Schutzfunktion XProtect mittlerweile aber blockiert. Mac-Anwender sollten trotz­dem auf der Hut sein. Der Mythos, Macs seien gegen Malware gefeit bröckelt schon länger. Auf dem Schwarz­markt wird mittlerweile immer mehr Mac-Schadsoftware als Malware-as-a-Service angeboten.