Neue Mac-Malware stiehlt Passwörter über Absturzbericht

Wenn eine App abstürzt, bietet macOS an, einen Fehlerbericht an Apple zu senden – ein vertrauter Vorgang. Genau den ahmt eine neue Schadsoftware nach: Sie fragt das Mac-Passwort ab und greift danach auf Schlüsselbund, Passwort-Manager und Krypto-Wallets zu. Der Trick funktioniert nur mit einer Mithilfe, die im Moment kaum auffällt.

macOS gilt als stabil, doch hin und wieder stürzt eine App ab, und das System bietet an, einen Diagnosebericht zu senden. Die Sicherheitsfirma Jamf Threat Labs hat eine Schadsoftware entdeckt, die diesen Ablauf fälscht und dabei das Anmeldepasswort abgreift. Wer es eingibt, öffnet der Software den Zugriff auf einen großen Teil seiner persönlichen Daten. Die Masche zeigt erneut, dass ein Mac kein Freifahrtschein gegen Angriffe ist – wie man Apple-Geräte grundsätzlich vor Malware schützt, bleibt deshalb eine Grundfrage der eigenen Sicherheit.

So läuft der Angriff ab

Der Schädling trägt bei Jamf den Namen CrashStealer. Der Erstkontakt erfolgt nicht zufällig, sondern über eine getarnte Meeting-App namens „Werkbit“, die als vermeintliche Software für Videokonferenzen verteilt wird. Der Download ist mit einer Meeting-PIN geschützt – ein Hinweis darauf, dass die Angreifer die Datei gezielt an ausgewählte Opfer schicken, etwa über gefälschte Einladungen zu angeblichen Bewerbungsgesprächen, statt sie breit zu streuen.

Ein automatischer Befall findet nicht statt. Das Opfer muss die App herunterladen, starten und anschließend sein Mac-Passwort eingeben. Erst dann installiert die Software im Hintergrund eine zweite Komponente, die sich als Apples Absturzberichts-Werkzeug ausgibt – inklusive passendem Namen, Symbol und der internen Kennung com.apple.crashreporter. Auf dem Bildschirm erscheint ein Passwortdialog im Stil von macOS, dessen Begleittext den weitreichenden Systemzugriff als reine Wartung erscheinen lässt.

Was die Software abgreift

Das eingegebene Passwort prüft die Schadsoftware zunächst lokal mit einem Bordmittel von macOS auf Gültigkeit. Stimmt es, entsperrt sie damit den Anmelde-Schlüsselbund und kopiert ihn in einen versteckten Ordner. Von dort weitet sich der Zugriff aus: auf Browserdaten wie gespeicherte Logins und Cookies, auf rund 14 Passwort-Manager – darunter 1Password, Bitwarden, LastPass, Dashlane und Keeper – sowie auf etwa 80 Krypto-Wallets wie MetaMask, Phantom und Coinbase. Zusätzlich durchsucht sie die Ordner „Dokumente“ und „Downloads“ nach verwertbaren Dateien.

Die gesammelten Daten verschlüsselt CrashStealer noch auf dem Gerät, bevor sie an einen fremden Server abfließen. Die Software nistet sich zudem so ein, dass sie bei jeder Anmeldung erneut startet. Jamf entdeckte außerdem Windows-Varianten derselben Kampagne – die Angreifer zielen also plattformübergreifend, nicht nur auf den Mac.

Warum Gatekeeper zunächst nicht anschlug

Besonders heikel ist der Weg, auf dem die Angreifer die Schutzmechanismen von macOS umgingen. Die „Werkbit“-App war mit einer gültigen Apple-Entwickler-ID signiert und von Apple notarisiert – sogar das Disk-Image selbst trug eine Signatur, was bei Schadsoftware unüblich ist. Dadurch passierte die Datei die Gatekeeper-Prüfung beim ersten Start ohne Warnhinweis.

Nachdem Jamf den Fund gemeldet hatte, hat Apple die missbrauchte Entwickler-Kennung widerrufen. Die bekannte Variante sollte damit inzwischen von Gatekeeper erkannt und blockiert werden. Das entschärft den konkreten Fall, hebt aber die eigentliche Lehre nicht auf: Eine gültige Apple-Signatur allein ist kein Beweis für Vertrauenswürdigkeit.

So lässt sich der Angriff abwehren

Ein einfaches Warnsignal hilft im Alltag: Apples echte Werkzeuge zur Absturzberichterstattung sind bereits Teil von macOS. Eine Datei namens CrashReporter.dmg, die zum Download angeboten wird, gehört nicht dazu und sollte misstrauisch machen. Ebenso lohnt ein zweiter Blick auf jeden Passwortdialog, der weitreichende Systemänderungen verlangt – gerade dann, wenn er im Zusammenhang mit einer frisch installierten App auftaucht.

Der verlässlichste Schutz bleibt, Programme nur aus dem Mac App Store oder von den Websites vertrauenswürdiger Entwickler zu laden und Einladungen zu unbekannten Meeting-Apps kritisch zu prüfen. Da der Angriff auf das eingegebene Passwort zielt, hilft zusätzlich eine konsequent aktive Zwei-Faktor-Authentifizierung beim Apple Account: Selbst abgeflossene Zugangsdaten sind dann für einen Angreifer allein deutlich weniger wert. Wer ganz ohne wiederverwendbares Passwort auskommen will, findet in Passkeys auf Apple-Geräten eine Methode, die sich über einen gefälschten Dialog gar nicht erst abgreifen lässt.

Signierte Software ist kein Freibrief

CrashStealer ist kein Massenangriff, sondern eine gezielte, aufwendig gebaute Kampagne – und genau das macht sie zum Lehrstück. Die Angreifer haben eine echte Entwickler-ID beschafft, ihre Schadsoftware notarisieren lassen und den entscheidenden Moment auf eine einzige Nutzeraktion verengt: die Eingabe des Passworts in einen täuschend echten Dialog. Wer an dieser Stelle kurz innehält, nimmt der Masche ihre Grundlage. (Bild: Shutterstock / AIBooth)