Neue macOS-Malware installiert gefälschte Google-Update-Agenten für dauerhaften Zugriff

Technik und Auswirkungen

Fake Google Software Update Diese Variante umgeht die Terminal-Mitigationsmaßnahmen von Apple vollständig, indem sie die Ausführung über den Script Editor leitet. Der bösartige Befehl wird dynamisch erstellt und mit base64-kodierten Zeichenketten aufgefüllt, sodass er unterhalb des sichtbaren Bereichs des Script-Editor-Fensters verborgen bleibt.

Reaper prüft die lokalen Einstellungen des Opfers, indem es die Datei com.apple.HIToolbox.plist abfragt, um russische Eingabesprachen zu erkennen. Wenn der Host in einer Region des Commonwealth of Independent States zu liegen scheint, sendet die Malware ein cis_blocked-Ereignis an ihren Command-and-Control-Server und beendet sich.

Andernfalls holt sie ein zweites AppleScript mit der Kern-Extraktionslogik ab und führt es über osascript im Arbeitsspeicher aus, ohne jemals direkt auf die lokale Festplatte zuzugreifen. Bevor sie ihren ersten Durchlauf beendet, stellt Reaper Persistenz durch eine Verzeichnisstruktur her, die den legitimen Google-Update-Service Keystone nachbildet.

Technik und Auswirkungen

Sie platziert ein bas64-dekodiertes Bash-Skript namens GoogleUpdate unter ~/Library/Application Support/Google/GoogleUpdate.app/Contents/MacOS/ und registriert einen LaunchAgent mit einer Property-List namens com.google.keystone.agent.plist. Dadurch wird das Skript stumm im Hintergrund alle 60 Sekunden ausgeführt.

Jedes Mal, wenn der LaunchAgent ausgeführt wird, übermittelt das Skript Systemdetails an das Endpunkt `/api/bot/heartbeat` des Angreifers. Wenn der Server eine „code"-Last zurückgibt, decodiert das Skript diese, schreibt sie unter `/tmp/.c.sh`, führt sie mit den Berechtigungen des aktuellen Benutzers aus und löscht sie anschließend.

Dies gewährt dem Angreifer einen persistenten und spurlosen Fernausführungskanal auf dem kompromittierten System. Datendiebstahl und Maßnahmen zur Verhinderung der Analyse Reaper verfügt über eine FileGrabber-Routine, die die Ordner Desktop und Dokumente nach Dateien durchsucht, die wahrscheinlich geschäftlichen oder finanziellen Wert besitzen.

Technischer Hintergrund

Ziel sind Erweiterungen wie `.docx`, `.wallet`, `.key`, `.json` und `.rdp`, sowie Bilder unter 1 MB und Dokumente unter 5 MB; die gesamte gesammelte Datenmenge wird auf 100 MB begrenzt. Die Dateien werden zunächst unter `/tmp/shub_random/` zwischengespeichert, danach in 10-MB-Blöcke aufgeteilt und per `curl` auf den Server des Angreifers hochgeladen.

Die Malware zielt zudem auf Kryptowährungs-Desktop-Anwendungen wie Exodus, Atomic, Ledger Live und Trezor Suite ab, sammelt Browser-Credentials und Entwickler-Tastatureingaben ab. Sie überschreibt Konsolenfunktionen und führt einen kontinuierlichen Debugger-Loop aus, um Sicherheitsanalysen zu behindern.

Öffnet ein Forscher DevTools, ersetzt die Seite deren Inhalt durch eine auf Russisch verfasste „Zugriff verweigert"-Nachricht. SentinelOne rät Nutzern davon ab, Skripte von Websites auszuführen, die behaupten, ein manuelles Sicherheitsupdate sei erforderlich, da Apple Nutzer niemals auffordert, den Script Editor zu öffnen und Befehle auszuführen.

Technik und Auswirkungen

Nutzer sollten URLs sorgfältig prüfen und Software ausschließlich von offiziellen Entwickler-Websites oder dem Mac App Store herunterladen.

Verteidiger sollten auf unerwartete AppleScript-Aktivitäten, ungewöhnliche ausgehende Verbindungen nach dem Start des Script Editors sowie neue LaunchAgents in Namensräumen, die mit vertrauenswürdigen Software-Herstellern verknüpft sind, achten.

Indikatoren für Kompromittierungen (IoCs): Domain: Indikator: mlcrosoft[.]co[.]com; Beschreibung: Typo-Squatting-Domain von Microsoft, die zur ersten Auslieferung der Payload genutzt wird. Domain: Indikator: hebsbsbzjsjshduxbs[.]xyz; Beschreibung: C2-Server-Endpunkt, der für das Hochladen von Dateiteilen über /gate/chunk verwendet wird.

Technik und Auswirkungen

Dateipfad: Indikator: ~/Library/Application Support/Google/GoogleUpdate.app/Contents/MacOS/GoogleUpdate; Beschreibung: Falscher Google-Software-Update-Persistenz-Skript. Dateipfad: Indikator: ~/Library/LaunchAgents/com.google.keystone.agent.plist; Beschreibung: Böswilliger LaunchAgent-Plist, der den Google Keystone-Dienst nachahmt.

Dateipfad: Indikator: /tmp/.c.sh; Beschreibung: Temporäres Shell-Skript, das vom Backdoor geschrieben und ausgeführt wird und anschließend gelöscht wird. Dateipfad: Indikator: /tmp/shub_/; Beschreibung: Zwischenverzeichnis für gesammelte Dateien vor der Exfiltration.

Dateipfad: Indikator: /tmp/shub_split.sh; Beschreibung: Bash-Skript, das verwendet wird, um das gesammelte Archiv in 10-MB-Teile aufzuteilen. API-Endpunkt: Indikator: /api/bot/heartbeat; Beschreibung: C2-Heartbeat-Endpunkt, der alle 60 Sekunden Systemtelemetrie empfängt.

Sicherheitslage und Risiko

Build-Hash: Indikator: d5441713c48ddc b023/62f133bdb36134038278dc48f06224/2531fedbb2bd2; Beschreibung: Build-Identifikator, der mit der Reaper-Variante verknüpft ist. Build-Name: Indikator: ReperHardcoded; Beschreibung: Interner Build-Name, der im Malware-Binary eingebettet ist.

Hash: Indikator: Hashc806fcf7203117751460f7/c8e3760e; Beschreibung: Dateihash, der mit dem Reaper-Build verknüpft ist. Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder Hyperlinkierung zu verhindern.

Defang nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM. Tushar ist ein leitender Cybersecurity- und Breach-Reporter. Er spezialisiert sich auf Cybersecurity-Nachrichten, Trends und aufkommende Bedrohungen, Datenpannen sowie Malware-Angriffe.

Mit jahrelanger Erfahrung bringt er Klarheit

Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen.

Veröffentlichung von Proof-of-Concept-Exploit-Code für die DirtyDecrypt Linux-Kernel-Schwachstelle Über 600 npm-Pakete wurden in einem neuen Mini-Shai-Hulud-Versorgungskettenangriff kompromittiert Drei Strategien, die Elite-SOCs nutzen, um Bedrohungsintelligenz operativ einzusetzen