MacSync-Malware nutzt öffentliche iCloud-Kalender für neue Schadsoftware
Die macOS-Malware MacSync hat eine ungewöhnliche neue Verteiltechnik bekommen. Sicherheitsforscher von Kaspersky haben eine Variante analysiert, die öffentliche iCloud-Kalendereinträge nutzt, um Befehle und weitere Schadsoftware nachzuladen.
Schadcode versteckt sich in einem Kalenderereignis
In der untersuchten Angriffskette lädt ein Downloader eine öffentlich erreichbare Kalenderdatei im ICS-Format. In der Beschreibung des Kalendereintrags befinden sich Befehle, die anschließend von der Shell verarbeitet werden und weitere Nutzlasten nachladen können.
Der Trick ist bemerkenswert, weil die Infrastruktur dabei teilweise über einen legitimen Cloud-Dienst läuft. Das macht den Datenverkehr für eine rein oberflächliche Kontrolle unauffälliger als einen Download von einer offensichtlich dubiosen Domain.
Infostealer plus neue Backdoor
MacSync ist nicht nur auf das Abgreifen einzelner Dateien beschränkt. Laut Kaspersky kann die aktuelle Variante Zugangsdaten, Browserdaten, Informationen aus Krypto-Wallets und weitere Nutzerdaten stehlen. Zusätzlich wurde eine Backdoor beobachtet, die Angreifern weitere Kontrolle über das kompromittierte System ermöglichen kann.
Die Malware wird unter anderem über Social Engineering verbreitet. Beobachtet wurden gefälschte Anwendungen, kostenlose oder manipulierte Software sowie ClickFix-artige Kampagnen, bei denen Nutzer dazu gebracht werden, selbst Befehle auf ihrem Rechner auszuführen.
Mac-Nutzer sollten bei Installationsanweisungen misstrauisch werden
Der wichtigste Schutz ist deshalb nicht ein spezieller Schalter gegen iCloud-Kalender, sondern das Vermeiden der ursprünglichen Infektion. Software sollte möglichst aus dem App Store oder direkt vom Hersteller stammen. Webseiten, die zum Einfügen von Terminal-Befehlen auffordern, sind ein besonders starkes Warnsignal.
Wer den Verdacht hat, bereits eine manipulierte Anwendung gestartet zu haben, sollte Zugangsdaten von einem sauberen Gerät aus ändern, aktive Sitzungen prüfen und den Mac mit aktueller Sicherheitssoftware beziehungsweise einer professionellen Incident-Response-Lösung untersuchen.
Beitragsbild: Symbolbild: Sumudu Mohottige / Unsplash
