LONDON (IT BOLTWISE) – Eine neue ClickFix-Kampagne imitiert für macOS echte System-Hinweise und zwingt Nutzer so zur Ausführung einer Lade-Routine. Die Malware ist als Go-basierter Stealer umgesetzt und kann Browser-Passwörter, Apple iCloud Keychain-Daten sowie zwischengespeicherte Credentials abgreifen. Besonders heikel ist die integrierte „DRAIN“-Routine: Sie prüft Wallet-Bestände und leitet Gelder in einen Angreifer-Account um. Laut technischer Auswertung verläuft der Infektionspfad über eine Bash-Profiling-Stufe, lädt anschließend ein CPU-architekturabhängiges Payload-Paket und nutzt außerdem Credential-Abfragen über gefälschte Prompts.
ClickFix ist in den letzten Monaten zu einem wiederkehrenden Einfallstor für Social-Engineering geworden, weil es die Nutzeroberfläche einer Betriebssystem-Umgebung als „Erklärmaschine“ missbraucht. Die neue macOS-orientierte Kampagne setzt genau dort an: Statt direkt eine ausführbare Datei nachzuladen, startet der Angriffsablauf mit einem in die Terminal-App eingefügten ClickFix-Befehl, der anschließend eine Bash-Profiling- und Loader-Komponente anstößt. Diese Vorstufe sammelt dabei „umfassende Systemdetails“ und bereitet damit zielgenau die nächste Stufe vor.
Technisch betrachtet folgt der Ablauf einem klaren Muster aus Reconnaissance und Architekturpassung. Der Bash-Profiler/Loader ermittelt Merkmale der Zielumgebung und lädt daraufhin ein Mach-O Payload-Paket, das zur Prozessorarchitektur des Opfers passt. Die eigentliche Schadsoftware ist als Go-basierter Stealer beschrieben: Sie kann Browser-Passwörter auslesen, Apple Keychain-Daten (inklusive iCloud-Keychain-Bezug) übernehmen und darüber hinaus zwischengespeicherte Zugangsdaten aus der kompromittierten Umgebung auslesen. Damit eignet sich die Malware nicht nur für Kontodiebstahl, sondern auch für nachgelagerte Missbrauchsszenarien, weil gestohlene Credentials häufig eine ganze Kette weiterer Konten und Dienste öffnen.
Ein wichtiger Teil der Wirksamkeit liegt in den Mechanismen zur Privilegsteigerung. Wie andere macOS-Stealer versucht auch dieser Schadcode, Benutzer zur Eingabe von Systemanmeldeinformationen zu bewegen: Er blendet einen gefälschten Prompt unter dem Deckmantel eines „unexpected system error“ ein und setzt danach wieder auf die Wiederherstellung beschädigter Systemdateien, um die Auffälligkeit im Betrieb zu senken. Für Unternehmen und Sicherheitsteams ist das relevant, weil Credential-Dialoge auf der Oberfläche typischerweise als „vertrauenswürdig“ wahrgenommen werden – hier wird diese Erwartung gezielt ausgenutzt.
Der deutlichste Unterschied in der aktuellen Auswertung ist jedoch die integrierte „DRAIN“-Routine. Sie prüft, ob eine Kryptowährungs-Wallet Gelder enthält, und leitet dann einen Teil oder im beschriebenen Worst Case den gesamten Bestand an eine vom Angreifer kontrollierte Adresse weiter. Außerdem existieren mehrere Varianten derselben Funktion, abhängig davon, welche Kryptowährung das Ziel-Asset ist. Namentlich werden Bitcoin, Litecoin, Dogecoin, Monero, Ethereum sowie Ripple (XRP) genannt. Obwohl solche Wallet-Entleer-Logiken nicht als völlig neu erscheinen, ist in der aktuellen Analyse die Betonung darauf, dass der Code in der beobachteten Form gezielt in der Lage ist, Wallets bis hin zu einem „weniger als dem gesamten Wert“-Abfluss leistbar zu machen – und damit auch dann Schaden zu verursachen, wenn die Täter aus taktischen Gründen nicht alles auf einmal transferieren wollen.
Die Infrastruktur und das Command-and-Control-Umfeld ordnet die technische Darstellung an ein Hosting-Netzwerk an, das Aeza Group zugeordnet wird. Laut Angaben wird dieses Hosting als „bulletproof“ beschrieben und zugleich als durch die USA, das Vereinigte Königreich sowie Australien sanktioniert dargestellt, weil es die Aktivitäten von Kriminellen ermöglicht. Für die Ermittlungs- und Abwehrseite heißt das praktisch: Auch wenn die Schadsoftware lokal aus einem vertrauenswürdig wirkenden Kontext heraus startet, hängt die eigentliche Schadstoffverteilung (Staging der Payloads) und die Rückkommunikation (C2) an einer Angreifer-internen Infrastruktur, die in der Regel wiederkehrend für verschiedene Kampagnen genutzt wird.
Dass ClickFix-Angriffe gerade „gehäuft“ auftauchen, wird in der Quelle nicht als Einzelereignis behandelt, sondern als Teil einer breiteren Kampagnenwelle. Dabei werden mehrere Varianten beschrieben: Eine macOS-Umsetzung, die über ein Cluster look-alike Domains arbeitet und über serverseitige Browser-Fingerprinting- und Hardware-Validierungs-Gates nur dann Lures ausliefert, wenn die Umgebung plausibel wie ein echter macOS-Browser wirkt; daneben blockiert sie laut Beschreibung häufig Crawler, Sandboxen und Teile automatisierter Analyse. Eine weitere Variante missbraucht auf Windows die Program Compatibility Assistant-Mechanik („pcalua.exe“), um heuristische Schutzmechanismen zu umgehen, bevor die eigentliche DLL- und Infostealer-Kette startet. Zusätzlich wird eine Web-orientierte Umgehungsschiene genannt: On-the-fly instanziierte WebAssembly-Module und Steganografie in SVG-Bildern sollen Netzwerkdetektion erschweren, während kompromittierte legale Websites als „Träger“ für das injizierte JavaScript dienen.
Für IT-Leitung und Security-Teams ergibt sich daraus ein klares Bild: ClickFix ist weniger eine einzelne Technik als eine Kombination aus Nutzerinteraktion, mehrstufiger Loader-Logik und fortlaufender Anpassung an Umgebungsbedingungen. In der Praxis sollten macOS-spezifische Schutzmaßnahmen deshalb nicht nur auf Datei-IOCs setzen, sondern auch auf das Erkennen auffälliger Terminal-Kommandosequenzen, ungewöhnlicher Credential-Prompts und Architekturabhängiger Payload-Downloads nach einer scheinbar harmlosen Profiling-Stufe. Gleichzeitig ist die Wallet-DRAIN-Funktion ein Warnsignal, dass bei der Bewertung von Vorfällen Kontodiebstahl allein nicht genügt: Selbst wenn „nur“ Zugangsdaten abfließen, können monetäre Schäden unmittelbar folgen, sobald Krypto-Assets identifiziert und automatisiert umgeleitet werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ClickFix-Malware für macOS: Go-Stealer mit DRAIN-Funktion für Krypto-Wallets" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ClickFix-Malware für macOS: Go-Stealer mit DRAIN-Funktion für Krypto-Wallets" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ClickFix-Malware für macOS: Go-Stealer mit DRAIN-Funktion für Krypto-Wallets« bei Google Deutschland suchen, bei Bing oder Google News!