Malvertising-Kampagne täuscht macOS-Nutzern Systemabsturz vor

Eine macOS-Kampagne verleitet Nutzer über eine vermeintlich abstürzende Systemaktualisierung zur Ausführung eines Schadbefehls.

Die Kampagne ist Teil der seit Längerem aktiven, Nordkorea zugeschriebenen Operation Contagious Interview. Anders als bei früheren Kampagnen dieser Gruppe beginnt der Angriff diesmal nicht mit einem gefälschten Jobangebot oder Programmiertest, sondern mit einer scheinbar harmlosen Websuche. Im von AllSecure beobachteten Fall suchte das Opfer nach Elektrophorese-Geräten und klickte auf ein gesponsertes Suchergebnis eines vermeintlichen Anbieters. Unmittelbar nach dem Laden der präparierten Seite zeigt der Browser eine Vollbildmeldung, die einen laufenden macOS-Neustart vortäuscht. Die Technik dahinter ist als ClickFix bekannt: Die gefälschte Meldung kopiert unbemerkt einen Schadbefehl in die Zwischenablage und fordert das Opfer anschließend auf, das Terminal zu öffnen und den bereits kopierten Befehl einzufügen. AllSecure beschreibt den Zweck der Inszenierung so:

„Die Erfahrung soll Panik auslösen. Der Computer wirkt eingefroren oder im Neustart, sodass ein Nutzer, der einen Systemfehler vermutet, Anweisungen befolgt, die er sonst als verdächtig einstufen würde.“

AllSecure

Ein erneuter Aufruf derselben Seite erzeugt bewusst nicht dieselbe Sequenz, die Aktivierung ist auf eine einmalige Nutzung ausgelegt.

Steuerung über die Ethereum-Blockchain

Der eingefügte Terminal-Befehl lädt über curl weitere Schadsoftware nach, darunter eine in Node.js geschriebene Backdoor, die sich über einen LaunchAgent dauerhaft im System verankert. Zur Steuerung nutzt die Kampagne eine als EtherHiding bekannte, kaum abschaltbare Methode: Die eigentliche Adresse des Kontrollservers wird dabei nicht fest im Schadcode hinterlegt, sondern bei Bedarf aus einem Ethereum-Smart-Contract ausgelesen. Die Backdoor meldet sich alle fünf Minuten beim Kontrollserver und führt jeden von dort zurückgelieferten JavaScript-Code aus.

Über diesen Kanal liefern die Angreifer zwei weitere Schadprogramme aus: einen Infostealer, der Daten aus den Browsern Chrome, Brave, Edge, Firefox, Opera und Vivaldi sowie aus 157 verschiedenen Kryptowährungs-Wallets und SSH-, AWS-, Azure- sowie npm-Zugangsschlüsseln ausliest, sowie eine bösartige, als „Google Drive Offline“ getarnte Chrome-Erweiterung, die über eine Manipulation der Chrome-Konfigurationsdatei eingeschleust wird und zum Leeren von Wallets dient.

Hinweise auf industrialisierte Vorgehensweise für macOS

AllSecure identifizierte zwei in der Schadsoftware hinterlegte Ethereum-Adressen, über die jeweils der tatsächliche Kontrollserver aufgelöst wird. Die zugehörigen Smart Contracts wurden laut den Forschern jeweils von Wegwerf-Wallets nach einem identischen viergliedrigen Muster erstellt: Finanzierung mit umgerechnet rund 0,0126 Ether, Bereitstellung des Contracts, Hinterlegung der Konfiguration, Weiterleitung des Restbetrags und anschließende Aufgabe des Wallets. Sowohl die Backdoor als auch die schädliche Browser-Erweiterung werden laut AllSecure aus demselben Wallet-Cluster finanziert, was auf einen einzelnen dahinterstehenden Akteur hindeutet.

AllSecure-Mitgründer und CEO Christian Papathanasiou ordnete den Fund wie folgt ein: Kampagnen mit Bezug zu Nordkorea würden bislang meist im Zusammenhang mit gefälschten Jobinterviews beschrieben, der aktuelle Fall zeige jedoch dieselbe operative Logik nun auch im Kontext ganz gewöhnlicher Websuchen, was das bisherige Bedrohungsmodell entsprechend erweitere.

(red)