LONDON (IT BOLTWISE) – Eine neue ClickFix-Infektionskette für macOS liefert einen Go-basierten Stealer aus, der Browser-Passwörter, Apple iCloud Keychain-Daten und gespeicherte Zugangsdaten abgreift. Auffällig ist dabei eine eingebaute DRAIN-Routine, die prüft, ob eine Krypto-Wallet Guthaben hält, und dann einen Teil oder den kompletten Betrag in eine Angreifer-Wallet umleitet. Die Malware ist zudem so gebaut, dass sie den abgerufenen Payload an die CPU-Architektur des Opfers anpasst. Das Vorgehen nutzt außerdem einen Host-Profiling-Schritt, um die Zielumgebung zu charakterisieren und die Schadsoftware gezielt nachzuladen.
ClickFix-Phishing ist im macOS-Umfeld vor allem deshalb so wirksam, weil es Nutzer in eine scheinbar harmlose Interaktion zieht: Statt einen Link zu öffnen, sollen sie eine vorgefertigte Kommandozeilen-„Anweisung“ in das Terminal übernehmen. Genau diese Lücke nutzt aktuell eine Go-basierte Malware, die nicht nur Zugangsdaten aus Browsern und aus Apples Keychain-Ökosystem abgreift, sondern auch gezielt Krypto-Assets aus Wallets abfließen lässt. In der beschriebenen Infektionskette startet die Ausführung mit dem Einfügen eines ClickFix-Kommandos in die Terminal-App, worauf ein Bash-Profiler/Loader umfangreiche Systeminformationen sammelt.
Technisch betrachtet folgt danach ein klassischer Loader-zu-Payload-Mechanismus, der die Schadsoftware auf die Hardware des Opfers zuschneidet. Der Bash-Schritt erfasst Details zur Umgebung und ruft anschließend einen Mach-O-Payload nach, der mit der CPU-Architektur des Zielsystems kompatibel ist. Erst dieser Payload arbeitet als eigentlicher Stealer: Er kann Browser-Passwörter, Apple Keychain-Daten sowie zwischengespeicherte Credentials auslesen und an einen Command-and-Control-Server übermitteln, der wiederum die weitere Kampagnensteuerung übernimmt. Dass hier mehrere Datentypen zusammenkommen, erhöht die Gesamtauswirkung: Zugangsdaten ermöglichen oft nicht nur Kontodiebstahl, sondern auch anschließende Angriffe auf Cloud-Dienste, während Wallet-Abgriffe direkt monetarisieren.
Besonders brisant ist die DRAIN-Funktion, weil sie die Krypto-Komponente nicht nur als „interessanten Zusatz“, sondern als zielgerichteten Abflussmechanismus integriert. Laut Huntress-Sicherheitsforscher Andrew Brandt „beschleunigt“ die Malware den Prozess, indem sie „langsam die Kryptowährungs-Konten entleert“ und die Inhalte in Angreifer-Konten überführt. Auf Code-Ebene folgt dabei offenbar ein Abgleich: Die Routine prüft, ob in der Wallet ein Guthaben vorhanden ist, und entscheidet dann, ob ein Teil oder der gesamte Betrag umgeleitet wird. Der Text beschreibt zudem Varianten derselben Funktion je nach Kryptowährung, darunter Bitcoin, Litecoin, Dogecoin, Monero, Ethereum und Ripple (XRP).
Damit verschiebt sich auch die Bedrohungsqualität gegenüber typischen Stealern. Brandt ordnet das so ein: „While this may not be a brand new feature, it’s the first time we have seen malware capable of emptying a cryptocurrency wallet that could be used to remove any less than the entire wallet’s value.“ Diese Aussage zielt weniger auf die Existenz von Wallet-Manipulation als solche, sondern auf die praktische Umsetzbarkeit in einem realen Schadprogramm: Wenn die Malware nicht nur „stehlen“, sondern die Wallet-Inhalte in einer Weise abräumen kann, die sich an den Wertschwellen der Beuteauswertung orientiert, wird der Schaden für Opfer potenziell deutlich größer. Für Security-Teams ist das zugleich eine Herausforderung, weil solche DRAIN-Logiken oft erst bei aktiver Wallet-Erkennung sichtbar werden und nicht zwingend in den frühen Stadien der Infektion „auffallen“.
Der Angriff nutzt außerdem mehrere typische Stealer-Mechanismen, die auf höhere Erfolgschancen abzielen. Dazu gehört eine Privilege-Eskalation, die auf Social Engineering setzt: Die Malware fordert Nutzer scheinbar zur Eingabe von Systemanmeldedaten in einer gefälschten Abfrage auf, getarnt als „unexpected system error“. Parallel versucht sie beschädigte Systemdateien wiederherzustellen, was die Wahrscheinlichkeit erhöhen soll, dass das Opfer die Manipulation nicht als klare Fehlfunktion erkennt. In der Gesamtarchitektur ist das konsistent: Zuerst sammelt der Loader die Host-Signatur, dann lädt er den passenden Payload nach, und anschließend versucht die Schadsoftware, in eine Position zu gelangen, in der sie Credentials und Datenübertragungen ohne Hürden durchführen kann.
Die Infrastruktur der Kampagne wird als besonders relevanter Faktor beschrieben: Sowohl Staging-Server für die Payloads als auch die Command-and-Control-Infrastruktur sollen auf Mechanismen zurückgehen, die der Aeza Group zugeordnet werden. Aeza Group ist den Angaben zufolge durch die USA, das Vereinigte Königreich und Australien sanktioniert worden, weil das Hosting Geschäftsmodelle für „bad actors“ unterstützt haben soll. Das ist ein Markt- und Ökosystemhinweis zugleich: Selbst wenn einzelne Malware-Module technisch neu wirken, bleibt die operationalen Kette häufig stark von Repeat-Infrastruktur abhängig. In den letzten Wochen werden zudem weitere ClickFix-Angriffe in Zusammenhang gebracht, etwa macOS-Kampagnen mit MacSync- und Atomic-Stealer-Varianten, die per Look-alike-Domains, Server-seitiger Browser-Fingerprinting-Logik und Hardware-/Umgebungsvalidierung nur bestimmte Besucher mit Lures bedienen.
Für die Praxis bedeutet das: Schutzmaßnahmen können nicht nur auf „klassische“ Exploit-Indikatoren setzen, sondern müssen auch ClickFix-typische Verhaltensmuster berücksichtigen. Dazu zählt, dass die Ausführung über das Einfügen von Kommandozeilen in Terminal/Run-Dialoge angestoßen wird, dass Loader häufig vor dem eigentlichen Payload-Abgriff umfangreiche Systemdetails erheben und dass Payload-Auslieferung architekturabhängig ist. Auch die erwähnten Varianten zeigen, wie breit Angreifer die Umgehungsstrategien wählen: von WebAssembly-Instanziierung und SVG-basierter Steganografie für das Zusammenbauen von Schad-URLs bis hin zu Windows-Abuse-Szenarien (Program Compatibility Assistant) in separaten Kampagnen. Unternehmen sollten daher im Endpoint- und IAM-Kontext nicht nur auf Dateihashes oder einzelne Labels achten, sondern auf die Kette aus Benutzerinteraktion, Prozessstarts, Netzwerkabrufen und anschließender Credential-/Wallet-Aktivität reagieren können.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ClickFix-Mac-Malware: Go-Stealer mit Wallet-DRAIN-Funktion" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ClickFix-Mac-Malware: Go-Stealer mit Wallet-DRAIN-Funktion" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ClickFix-Mac-Malware: Go-Stealer mit Wallet-DRAIN-Funktion« bei Google Deutschland suchen, bei Bing oder Google News!