Die neuen Angriffe zeigen ein hohes Maß an Raffinesse und nutzen die Vertrauenswürdigkeit von systemintegrierten Anwendungen aus. Script Editor ist eine vorinstallierte macOS-Anwendung, die primär für AppleScript und JXA-Programmierung gedacht ist und Shell-Befehle ausführen kann. Genau diese Legitimität machen Kriminelle sich zunutze.
Der Angriffsablauf beginnt mit täuschend echt wirkenden Apple-Themenseiten, die Anleitung zur Speicherplatzfreigabe versprechen. Diese Webseiten enthalten links mit dem Schema “applescript://”, das Script Editor automatisch mit vorausgefülltem Code startet. Nutzer sehen eine vermeintlich legitime Systemanleitung und ahnen nicht, dass sie gerade einen gefährlichen Befehl ausführen.
Die technische Umsetzung ist beeindruckend: Ein obfuskierter “curl | zsh”-Befehl lädt ein Script direkt in den Speicher, das eine mit Base64 + Gzip kodierte Nutzlast dekodiert. Anschließend wird eine Binärdatei in /tmp/helper heruntergeladen, ihre Sicherheitsattribute per “xattr -c” entfernt und unmittelbar ausgeführt. Das Endergebnis ist ein Mach-O-Binary, identifiziert als Atomic Stealer (AMOS).
Die Malware richtet enormen Schaden an. Sie zielt auf eine breite Palette sensibler Daten ab: Keychain-Einträge, Desktop-Inhalte, Browser-Kryptowallet-Erweiterungen, Autofill-Daten, Passwörter, Cookies, gespeicherte Kreditkartendaten und Systeminformationen. Besonders besorgniserregend ist, dass AMOS im letzten Jahr um eine Backdoor-Komponente erweitert wurde, die Angreifern persistenten Zugriff auf kompromittierte Systeme ermöglicht.
Für Nutzer und Unternehmen mit macOS-Umgebung gibt es wenige Verteidigungsoptionen. Apple hat zwar in macOS Tahoe 26.4 Warnungen gegen ClickFix-Angriffe implementiert, diese schützen jedoch nicht vor Script-Editor-Missbrauch. Experten empfehlen, Script-Editor-Aufforderungen grundsätzlich als Hochrisikoindikator zu behandeln und diese nur auszuführen, wenn man den Quellcode vollständig versteht und dem Ursprung vertraut. Für macOS-Troubleshooting sollten Nutzer ausschließlich auf offizielle Apple-Dokumentation und gegebenenfalls die Apple Support Communities verlassen.
Diese Kampagne unterstreicht einmal mehr, wie wichtig Sicherheitsbewusstsein und die kritische Überprüfung von vermeintlich legitimen Anleitung sind – besonders auf Geräten, auf denen sensible persönliche und geschäftliche Daten gespeichert sind.