Der erste Schritt setzt bei der frühen Triage an. Sie wird langsamer, sobald ein Team annimmt, dieselbe Bedrohung verhalte sich überall gleich. Eine verdächtige Datei, ein Skript oder ein Link, der unter Windows ein bestimmtes Muster zeigt, kann auf macOS einen anderen Weg nehmen, auf andere native Komponenten zurückgreifen und ein anderes Risikoniveau erzeugen. Plattformübergreifende Validierung sei deshalb von Anfang an unverzichtbar.
macOS gilt dabei oft als die vermeintlich sicherere Seite der Unternehmensumgebung – was es Bedrohungen erleichtern kann, früh unentdeckt zu bleiben. Mit der wachsenden Verbreitung bei Führungskräften, Entwicklern und anderen besonders wertvollen Nutzern haben Angreifer mehr Anlass, Kampagnen gezielt auf diese Umgebung zuzuschneiden.
Als Beispiel nennt ANY.RUN eine kürzlich von eigenen Experten analysierte ClickFix-Kampagne gegen Nutzer von Claude Code. Die Angreifer missbrauchten eine Weiterleitung über eine Google-Anzeige, um Opfer auf eine gefälschte Dokumentationsseite für Claude Code zu locken. Über einen ClickFix-Ablauf wurde dann ein bösartiger Terminal-Befehl untergeschoben, der ein verschlüsseltes Skript herunterlud, den AMOS Stealer installierte, Browser-Daten, Zugangsdaten, Keychain-Inhalte und sensible Dateien sammelte und schließlich eine Backdoor für dauerhaften Zugriff einrichtete.
Der zweite Schritt betrifft die Untersuchung selbst. Multi-OS-Angriffe lassen sich schwerer eindämmen, wenn ein einziger Fall das Team in mehrere voneinander getrennte Arbeitsabläufe zwingt. Ein verdächtiger Link auf dem einen System, ein Skript auf dem anderen und ein abweichender Ausführungspfad an dritter Stelle können aus einem einzelnen Vorfall rasch eine über mehrere Werkzeuge verstreute Untersuchung machen. ClickFix-Kampagnen zeigten dies: Dieselbe Technik wurde gegen unterschiedliche Betriebssysteme von Windows bis macOS eingesetzt und folgte je nach Umgebung anderen Ausführungspfaden.
Muss jede Variante in einem eigenen Werkzeug analysiert werden, dauert die Untersuchung länger und lässt sich schwerer konsistent halten. Mit der ANY.RUN Sandbox könnten Teams solche Bedrohungen laut Anbieter innerhalb eines einzigen Arbeitsablaufs über die wichtigsten Unternehmens-Betriebssysteme hinweg untersuchen, Verhalten vergleichen und die Angriffskette nachverfolgen, ohne ständig den Kontext zu wechseln.
Der dritte Schritt zielt darauf, aus den gesammelten Aktivitäten schnell die relevanten Erkenntnisse zu ziehen. Bei Multi-OS-Angriffen verlangsamt sich die Reaktion oft genau hier, wenn ein Verhalten in einer Umgebung auftaucht und weitere Artefakte an anderer Stelle. Laut ANY.RUN können Teams mit der Sandbox automatisch erzeugte Berichte einsehen, das Verhalten der Angreifer nachvollziehen, Kompromittierungsindikatoren (IOCs) in eigenen Reitern prüfen und den integrierten KI-Assistenten nutzen, um verdächtige Aktivitäten schneller zu verstehen.