Jena – Dass Mac-User nicht Ziel von Malware-Angriffen und Cyber-Kriminellen sind, gilt unter Experten schon seit langem als Ammenmärchen. ESET-Forscher haben erneut Cybercrime-Aktivitäten aufgedeckt und analysiert, die es gezielt auf das Betriebssystem macOS abgesehen haben. Die slowakischen IT-Security-Experten entdeckten auf gefälschten Anbieterseiten manipulierte Krypto-Trading-Software.
Bei den Programmen handelt es sich durchweg um Klone einer legitimen Anwendung, die von den Schadcode-Verbreitern mit der GMERA-Malware versehen wurde. Hierfür haben die Kriminellen die bekannte Kattana-Trading-Software missbraucht, umbenannt und die Malware in ihr Installationsprogramm integriert. Darüber hinaus kopierten die Täter die Hersteller-Webseite, um Besucher zur Installation der manipulierten und schadhaften Anwendung zu verleiten. Bisher entdeckten die ESET-Forscher im Internet vier Kopien der Trading-Software, die unter folgenden Namen angeboten wurde: Cointrazer, Cupatrade, Licatrade und Trezarus.
«Das Schadprogramm meldet sich via HTTP bei einem Command & Control-Server und erstellt eine Remote-Terminalsitzungen über eine fest codierte IP-Adresse mit einem anderen C&C-Server», so ESET-Forscher Marc-Etienne M.Léveillé, der die Untersuchung leitete. «Ziel der Kriminellen ist es sensible Daten des Anwenders, wie Browser-Daten, Krypto-Wallets und Desktop-Screenshots zu sammeln.»
Nahezu identische Kopie von Software und Webseite
Die Cyberkriminellen haben die Webseite und die Trading-Software von Kattana kopiert und umbenannt. Auf den Webseiten wurde in der Regel lediglich das Logo ausgetauscht. Bisher ist noch unklar, wie und in welchem Umfang die Kriminellen die schädlichen Trading-Programme beworben und gestreut haben. Die Experten des europäischen IT-Sicherheitsherstellers vermuten, dass die Kopien via Social Engineering angeboten wurden. Ein Indiz dafür: Im März 2020 veröffentlichte die offizielle Kattana-Website eine Warnung, die darauf hinweist, dass Opfer gezielt angesprochen werden, um sie zum Herunterladen einer schadhaften Anwendung zu verleiten. Die Download-Schaltfläche auf den gefälschten Webseiten verlinkt zu einem ZIP-Archiv, das die schädliche Anwendung beinhaltet. In den Apple Store gelange keine der Kopien.