Hackern nutzen DMG-Dateien als Waffe, um macOS-Nutzer mit Infostealer-Malware anzugreifen

Technik und Auswirkungen

Die Wahl des DMG als Lieferformat ist dabei absichtlich gewählt. Im Vergleich zu Paketdateien (.pkg) erfordern Disk-Images weniger formale Signierungen und werden von macOS-Sicherheitsprüfungen deutlich weniger stark untersucht.

Wenn ein Benutzer ein DMG öffnet, montiert macOS es als virtuelles Laufwerk unter dem Pfad /Volumes und hält den Inhalt zunächst isoliert. Diese Isolation ist für Angreifer jedoch von geringer Bedeutung, sobald sie die Zustimmung des Benutzers erhalten. Ein legitimes DMG zeigt eine vertraute Aufforderung, den Inhalt in den Ordner „Anwendungen" zu ziehen.

Ein bösartiges DMG sieht identisch aus, enthält jedoch im Hintergrund eingebettete Anweisungen, wie Gatekeeper – das Apple-Tool zur Überprüfung vertrauenswürdiger Software – umgangen werden kann. Diese Anweisungen sind im Hintergrundbild des Ordnerfensters versteckt und leicht als verdächtig zu übersehen.

Diese Technik wird von Infostealer-Familien wie

Diese Technik wird von Infostealer-Familien wie AMOS, Poseidon, Odyssey und MacSync verwendet. Angreifer haben zudem Variationen dieses Ansatzes entwickelt. In einigen Fällen sind Umgehungsanweisungen direkt in den Dateinamen codiert, beispielsweise durch die Benennung der Datei „Ziehen zum Terminal".

Piratenseiten verteilen Software oft mit dem Label „gecrackt", wodurch Benutzer konditioniert werden, alle Sicherheitshinweise als normal zu betrachten. ## Erkennung und empfohlene Schritte Die meisten Endpunkt-Sicherheitstools warten darauf, dass Malware ausgeführt wird, bevor sie eine Bedrohung markieren.

Zu diesem Zeitpunkt ist der Diebstahl bereits erfolgt und die gestohlenen Daten haben den Rechner verlassen. Der entscheidende Faktor besteht darin, den Angriff zu erkennen, bevor der Nutzer den Installer-Prozess verlässt.

Die Erkennung auf der Mount-Ebene umfasst

Die Erkennung auf der Mount-Ebene umfasst die Überwachung virtueller Disk-Images im Verzeichnis /Volumes, das Scannen nach versteckten.background-Verzeichnissen sowie das Auslesen von Text aus Installer-Grafiken mittels optischer Zeichenerkennung (OCR).

Auch Fuzzy-Matching-Verfahren erfassen absichtliche Rechtschreibfehler, die Angreifer verwenden, um Keyword-Filter zu umgehen. Wird ein verdächtiger Installer markiert, ist der unmittelbare Schritt das Trennen (Unmounten) des Disk-Images und das Beenden aller damit verbundenen Prozesse.

Hat der Nutzer bereits weitergefahren, verlagert sich der Fokus auf nachgelagertes Verhalten wie den Zugriff auf den Keychain oder Privilegien-Eskalation. Das Sicherheitsbewusstsein stellt eine kritische Verteidigungslinie dar, da der gesamte Angriff von einem menschlichen Eingriff abhängt, bei dem ein Nutzer etwas manuell genehmigt, das er nicht sollte.

Technik und Auswirkungen

Nutzer sollten Software nicht von nicht offiziellen Quellen oder Crack-Forums herunterladen. Jeder Installateur, der auffordert, eine Datei in den Terminal zu ziehen oder unbekannte Software in den Systemeinstellungen zu genehmigen, ist ein Warnsignal, dem ernsthaft Rechnung getragen werden sollte.

Tushar ist Senior-Reporter für Cybersicherheit und Sicherheitsverletzungen. Er spezialisiert sich auf die Berichterstattung über Nachrichten und Trends im Bereich der Cybersicherheit sowie über neu auftretende Bedrohungen, Datenlecks und Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen.

Zusätzlich zu den Mac-Bedrohungen warnt das US-Informationsamt (CISA) vor einer Schwachstelle im Check Point Security Gateway, die aktiv in Ransomware-Angriffen ausgenutzt wird. GitHub plant die Automatisierung der Deaktivierung von npm-Skript-Installationen, um Supply-Chain-Angriffe zu verhindern.

Sicherheitslage und Risiko

Zudem wurde ein 0-Day-Exploit für den GreatXML BitLocker-Bypass über einen Windows Defender Offline-Scan ausgenutzt. ### SvyTech-Einordnung Der Artikel verdeutlicht den Paradigmenwechsel bei macOS-Sicherheitsbedrohungen: Während früher die Isolation von DMG-Dateien als Schutz galt, nutzen Angreifer heute gezielt die Umgehungsanweisungen in den Installationsgrafiken, um Gatekeeper zu täuschen.

Die Tatsache, dass Infostealer keine Persistenz benötigen, macht die Erkennung durch herkömmliche Antivirensoftware, die oft auf Ausführung wartet, deutlich schwieriger. ### Was Leser daraus mitnehmen Nutzer sollten besonders vorsichtig sein, wenn Software von nicht offiziellen Quellen oder Crack-Seiten heruntergeladen wird.

Ein Aufforderungsfenster, das den Export von Dateien in den Terminal oder die Installation unbekannter Software in den Systemeinstellungen verlangt, ist ein klares Warnsignal. Die Installation solcher Software sollte unterlassen und das Disk-Image sofort getrennt werden.