Cthulhu Stealer Malware für macOS im Umlauf

Eine Malware namens Cthulhu Stealer für macOS befindet sich seit Ende 2023 im Umlauf und macht deutlich, dass das Betriebssystem für Apple Macs zunehmend zum Angriffsziel wird.

Für 500 US-Dollar, etwa 450 Euro, im Monat ist das diebische Programm im Rahmen eines Malware-as-a-Service-Modell (MaaS) erhältlich. Cthulhu ist in Golang geschrieben, wird als Apple disk image (DMG) geladen und tarnt sich als legitime Software, die allerlei Informationen abgreifen kann.

imitiert Softwareprogramme

Zu den Softwareprogrammen, die von der Malware imitiert werden, zählen CleanMyMac, Grand Theft Auto IV und Adobe GenP. Letzteres ist ein Open-Source-Tool, das eine Nutzung von Adobe Creative Cloud-Diensten ohne Abo ermöglicht.

Beim öffnen der gefälschtes Programms werden die Nutzer:innen vom Apples Sicherheitssystem Gatekeeper gewarnt, dass die Software unsigniert ist. Wird diese Warnung ignoriert und die Software nach Eingabe des Systempassworts dennoch installiert, so kann sich der Übertäter ins System einnisten.

iCloud Keychain betroffen

Ist ein Mac infiziert, kann Cthulhu sensible Daten wie Passwörter, die im iCloud-Schlüsselbund gespeichert sind, stehlen. Hierzu bedient sich der Cthulhu Stealer dem Open-Source-Tool namens Chainbreaker.

Auch Daten aus dem MetaMask Cryptowallet können an die Server der Angreifenden weitergeleitet werden. Vorausgesetzt man folgt der Aufforderung das Passwort von MetaMaks einzugeben.

Die gestohlenen Daten, zu denen auch Webbrowser-Cookies und Telegram-Kontoinformationen gehören, werden komprimiert und in einer ZIP-Archivdatei gesspeichert und auf einen Command-and-Control-Server (C2) exfiltriert werden.

Laut Cato Sicherheitsforscherin Tara Gould besteht die Hauptnutzen der Malware darin, Kryptowährungs-Wallets und Spielekonten zu stehlen.

macOS Sequoia verbessert Gatekeeper

Wenn der Mac nicht infiziert werden soll, empfiehlt es sich ausschließlich signierte Programme von vertrauenswürdigen Entwickler:innen direkt auf deren Websites oder vom Apple App Store zu laden.

Apple plant mit macOS Sequoia, das voraussichtlich Mitte September veröffentlicht wird, das Umgehen der Gatekeeper-Warnungen zu erschweren. Es kann nicht mehr mit einem Click abgelehnt werden. Künftig müssen bei der Installation nicht signierter Software die Systemeinstellung geöffnet und die Einstellungen für Datenschutz und Sicherheit von Nutzer:innen geprüft werden, bevor die Software ausgeführt werden kann.