Cybersicherheitsexperten haben eine neue Welle von Angriffen auf macOS-Systeme entdeckt, die eindeutig von nordkoreanischen Hackern stammt. Die Angreifer konzentrieren sich auf Finanzunternehmen, insbesondere solche, die im Kryptowährungs-, Venture-Capital- oder Blockchain-Sektor tätig sind. Die Kampagnen zeichnen sich durch raffinierte Social-Engineering-Techniken aus, die es den Angreifern ermöglichen, tiefe Systempenetration zu erzielen.
Die erste identifizierte Kampagne nutzt die ClickFix-Methode, um macOS-Nutzer zu täuschen. Dabei werden Opfer über Telegram kontaktiert – häufig mit gefälschten Besprechungseinladungen, die von gehackten Konten von Personen stammen, die dem Ziel bekannt sind. Die Opfer werden auf Websites weitergeleitet, die Zoom, Microsoft Teams oder Google Meet imitieren, und sollen angeblich ein Verbindungsproblem durch Eingabe eines Befehls im Terminal beheben. Dieser Befehl führt zur Installation von Go-basierten Mach-O-Binaries aus dem Malware-Kit “Mach-O Man”.
Die zweite Kampagne wird der Hackergruppe Sapphire Sleet zugeordnet, die seit mindestens 2020 aktiv ist und staatlich unterstützt wird. Sie nutzt eine andere Methode: Fake-Recruiter-Profile auf Online-Plattformen locken Opfer zu gefälschten technischen Interviews. Dort werden die Ziele aufgefordert, vermeintliche Videokonferenz-Tools oder SDK-Updates zu installieren. Diese sind tatsächlich als AppleScript kompilierte Dateien, die sich automatisch im macOS Script Editor öffnen und eingebettete Shell-Befehle ausführen.
Bei beiden Angriffstypen ist das Ziel identisch: Diebstahl hochsensibler Daten. Die Malware erfasst Systemzugriffsdaten, installierte Anwendungen, Telegram-Metadaten, Browser-Profile mit Passwort-Datenbanken, Keychain-Einträge, Kryptowallet-Informationen, SSH-Schlüssel, Shell-Historie, die Apple-Notes-Datenbank und Systemprotokolle. Die komplexe Infektionskette besteht aus mehreren AppleScript-Payloads und zielt auf Persistenz und Rechteausweitung ab.
Deutsche Finanzunternehmen und besonders solche mit Kryptowährungs-Fokus sollten ihre Sicherheitsmaßnahmen überprüfen. Empfohlen werden verstärkte Schulungen für Mitarbeiter zur Erkennung von Social-Engineering-Angriffen, regelmäßige Überprüfung von macOS-Sicherheitseinstellungen und Monitoring von verdächtigem Terminal-Aktivitäten.