LONDON (IT BOLTWISE) – Mehr als 65 % der neuen macOS-Schädlinge zielen als sogenannte Infostealer auf Datendiebstahl. Sicherheitsforscher beobachten, dass Angreifer immer häufiger über täuschend echte Disk-Images (.dmg) und manipulierte Installationsroutinen einsteigen. Gleichzeitig verschiebt sich die Bedrohung vom einzelnen Download hin zu Lieferkettenangriffen, bei denen kompromittierte Maintainer-Accounts schadhaften Code in viele Pakete tragen. Für Unternehmen bedeutet das: Identitäten müssen schneller abgesichert werden – besonders dort, wo Passwörter noch zentral sind.
macOS gilt in vielen IT-Abteilungen noch immer als vergleichsweise robust, doch neue Auswertungen zeichnen ein anderes Bild: Berichten zufolge entfallen inzwischen über 65 % der neu auftretenden macOS-Schädlinge auf Infostealer, also Schadprogramme, die gezielt Zugangsdaten, Krypto-Wallet-Informationen und persönliche Nutzerdaten auslesen. Das Entscheidende ist nicht nur die Häufigkeit, sondern die Professionalisierung der Angriffe. Wo früher einzelne Nutzer über riskante Downloads stolperten, werden heute mehrstufige Abläufe genutzt, die typische Schutzmechanismen von Apple umgehen oder aushebeln sollen. Damit entsteht ein Szenario, in dem das klassische Nutzer-„Sicherheitsgefühl“ selbst zur Einfallstür wird.
Technisch betrachtet setzen die Angreifer häufig auf täuschend echte Disk-Images (.dmg) als Transportmittel, weil sie sich für Benutzer schnell legitim anfühlen und sich in den üblichen Installationsfluss einbetten lassen. Sobald eine vermeintliche Anwendung gestartet wird, greifen Infostealer über die Systemschlüsselbundverwaltung (Keychain) sowie über Browser-Speicher auf Passwörter zu. Besonders relevant ist dabei, dass moderne Angriffsfahrpläne nicht bei „Passwort erbeuten und weg“ enden, sondern bei wiederverwendbaren Geheimnissen und Sitzungskontexten ansetzen. Beispiele aus der aktuellen Szene sind bekannte Familie-/Cluster-Bezeichnungen wie AMOS oder Odyssey Stealer, die als ChatGPT-ähnliche Anwendung getarnt auftreten können.
Um den Gatekeeper-Mechanismus zu umgehen, werden dabei mehrere Hebel kombiniert: gefälschte Entwicklerzertifikate sollen Validierungen wie „Unbekannter Entwickler“-Warnungen verschleiern, während gezielte Installationsanweisungen die Nutzer zu Handlungen bewegen, die Sicherheitsprüfungen faktisch ausbremsen. Eine wiederkehrende Taktik ist das Auffordern zur Installation per Rechtsklick, wodurch automatisierte Prüfpfade weniger effektiv durchlaufen werden. Die Angriffslogik folgt damit einem Muster, das man aus früheren Windows-Phishing-Wellen kennt: Social Engineering trifft auf technische Schwachstellen im Alltagshandling. Für Unternehmen heißt das, dass „Blocken“ allein nicht reicht; man muss den gesamten Nutzerprozess absichern.
Ein besonders aufschlussreicher Punkt ist, wie schnell sich Angreifer an Updates anpassen. Im Juni 2026 beschrieben Analysten eine neue Variante des „ClickFix“-Angriffs, die speziell auf macOS zugeschnitten ist. Bei dieser Methode werden Nutzer auf gefälschte Apple-Supportseiten geführt, die Speicherplatzfreigabe versprechen. Statt wie zuvor üblich Terminal-Befehle auszuführen, nutzt die neue Version offenbar den Script-Editor-Mechanismus, um den Schadcode direkt im Arbeitsspeicher abzuwickeln. Diese Anpassung lässt sich als direkte Reaktion auf strengere Kontrolle von Terminal-basierten Befehlen im Kontext des macOS-26.4-Updates interpretieren. Das zeigt: Verteidiger und Angreifer liefern sich ein Pattern-Matching-Duell auf System- und Tool-Ebene.
Damit ist die Bedrohungslage noch nicht auf einzelne lokale Downloads beschränkt. Am 19. Juni 2026 wurde zudem ein schwerwiegender Lieferkettenangriff auf das „Mastra AI Framework“ öffentlich gemacht, bei dem als mutmaßliche Akteursgruppe Sapphire Sleet (auch als BlueNoroff bekannt) im Raum steht. Die zentrale Idee ähnelt vielen bekannten Supply-Chain-Vorfällen: Ein Maintainer-Konto auf der npm-Registry wird kompromittiert, anschließend werden schadhaft manipulierte Updates in zahlreiche Abhängigkeitspakete verteilt. Als entscheidendes Vehikel wird dabei eine Dependency namens „easy-day-js“ genannt, die dafür ausgelegt gewesen sein soll, Anmeldedaten, API-Schlüssel sowie Daten aus vielen Krypto-Wallet-Erweiterungen auszuspähen. Laut den Angaben betraf der Angriff plattformübergreifend auch Windows-, Linux- und macOS-Umgebungen.
Für die Marktebene verschiebt sich dadurch die Priorität vieler Teams: Nicht nur Endpoint-Erkennung, sondern auch Software-Bereitstellung, Abhängigkeitskontrolle und Identitäts-Hygiene werden zu unmittelbaren Wettbewerbsfaktoren. Der Vergleich liegt nahe zu anderen großen Ökosystemen, in denen Paketabhängigkeiten zu „Verteilern“ wurden – auch wenn die konkrete Auswirkung je Plattform variiert. Microsoft dient hier als wichtiger Referenzpunkt, weil die Bekanntmachung und die detaillierte Beschreibung der Mechanik Unternehmen hilft, ihr eigenes Supply-Chain-Risiko schneller einzuordnen. Gleichzeitig mahnen Analysten, dass „Vorfälle“ heute weniger wie Einzeltäter wirken, sondern wie systemische Angriffsserien mit skalierbarer Distribution. Gerade in Enterprise-Setups steigt damit der Druck, SBOM- und Signing-Strategien konsequent umzusetzen.
Besonders kritisch ist die Frage, wie stark reale Unternehmensdaten betroffen sind. In Datenrepositorien wie „Have I Been Pwned“ tauchten Berichten zufolge Datensätze mit Millionen eindeutigen Passwörtern und Millionen E-Mail-Adressen auf, die aus Infostealer-Logs stammten. Die Forscher betonten dabei, dass die Daten nicht zwingend aus zentralen Unternehmensdatenbanken stammten, sondern aus kompromittierten Endgeräten. Zusätzlich analysierte ein „State of Enterprise Infostealer Exposure“-Report große Mengen an Protokolldaten und zeigte einen wachsenden Anteil von Logs mit Unternehmenszugangsdaten. Besonders relevant: Zugriffe über Microsoft Entra ID tauchten in einem sehr großen Teil der unternehmensrelevanten Logs auf. Die Prognose, dass bis Ende Q3 2026 bereits jede fünfte Infostealer-Infektion Firmen-Identitäten offenlegen könnte, macht deutlich, wie schnell sich Privates und Unternehmensrelevantes vermischen kann.
Regulatorisch und datenschutzrechtlich verschärft sich die Lage, weil Infostealer typischerweise personenbezogene Daten und Authentifizierungsinformationen erfassen. Für Unternehmen bedeutet das: Selbst wenn es „nur“ Endgeräte betrifft, greifen Pflichten aus dem Datenschutzkontext, insbesondere wenn Authentifizierungsdaten die Grundlage für weitere Zugriffe bilden. Gleichzeitig wird deutlich, warum passwortbezogene Systeme ein strukturelles Risiko darstellen: Ein gestohlenes Passwort ist ein Schlüssel, der nicht nur eine Anwendung, sondern oft mehrere Dienste öffnet. Der Markt reagiert darauf mit einer Verlagerung hin zu passwortlosen Verfahren wie Passkeys. In der Praxis brauchen Unternehmen dazu allerdings mehr als nur eine Aktivierung: Sie müssen Enrollment-Prozesse, Gerätebindung, Recovery und Logging so gestalten, dass auch bei kompromittierten Endpoints die Schadwirkung begrenzt bleibt.
Die „größte Schwachstelle ist der Mensch“ ist in diesem Kontext keine Floskel, sondern eine messbare Komponente. Laut einer Untersuchung von Kaspersky, die fünf Millionen Protokolldaten aus 2025 ausgewertet haben soll, erfolgen 35 % der Infektionen, wenn Nutzer Dateien direkt aus temporären Browser-Download-Ordnern ausführen. Weitere 32 % nutzen „Living-off-the-Land“-Techniken, also das Einschleusen von Schadcode in legitime Framework-Verzeichnisse. Parallel steigt die Gesamtzahl der Infostealer-Infektionen im Jahresvergleich deutlich an, was vor allem auf Nutzerverhalten zurückgeführt wird, etwa das Deaktivieren von Sicherheitssoftware zum Installieren raubkopierter Software oder „Cracks“. Historisch kennt man das Muster bereits aus Makro-Malware-Zyklen: Wiederholt wird nicht primär das Betriebssystem angegriffen, sondern der typische Nutzerschritt im Ablauf.
Ausblickend stehen für IT-Verantwortliche drei Handlungsstränge im Mittelpunkt. Erstens müssen Endpoint-Strategien stärker auf Anwendungs- und Prozesssignale ausgerichtet werden, nicht nur auf Dateiname oder Hash. Zweitens sollten Supply-Chain-Mechanismen wie Abhängigkeitsprüfung, Signing, Registry-Policies und schnelle Revocation-Workflows für Pakete und Maintainer verankert werden – genau dort, wo ein Angriff wie „easy-day-js“ skaliert. Drittens wird die Identitätsstrategie zur Sicherheitsplattform: Passkeys können Phishing und Passwortdiebstahl reduzieren, aber erst im Zusammenspiel mit geeigneten Richtlinien, Gerätekontrollen und Recovery-Absicherungen entfalten sie Wirkung. Für Entwickler entstehen dadurch neue Chancen: Wer Build- und Release-Prozesse „verifizierbar“ macht, reduziert das Risiko in der gesamten Lieferkette spürbar.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "macOS unter Druck: Infostealer dominieren neue Schädlinge – plus Lieferkettenrisiko" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "macOS unter Druck: Infostealer dominieren neue Schädlinge – plus Lieferkettenrisiko" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »macOS unter Druck: Infostealer dominieren neue Schädlinge – plus Lieferkettenrisiko« bei Google Deutschland suchen, bei Bing oder Google News!