Der Quelltext von mehreren Apps des Entwicklerstudios Panic wurde von Unbekannten kopiert, welche nun, unter Androhung einer Veröffentlichung des Source Codes, Lösegeld zu erpressen.

Da ein Mitgründer der Firma die im Video-Encoder Handbrake für wenige Tage versteckte Malware Proton auf seinem Arbeits-Mac installiert hatte, erhielten die Angreifer Zugang zum Versionsverwaltungssystem der Entwickler, wie Panic im hauseigenen Blog mitteilt. Die Zugangsdaten für die Versionsverwaltung Git wurden dadurch ausgelesen und anschließend wurden verschiedene Repositories geklont.

Das Entwicklerstudio betont, dass es “keine Anzeichen” für die Erfassung von Kundendaten durch den Angriff gibt und Kreditkartendaten sowieso nur durch den Zahlungsdienstleister Stripe erfasst würden. Panics Synchronisationsdienst blieb von dem Angriff angeblich ebenfalls unbehelligt. Zudem sei der Web-Server nicht kompromittiert worden.

Es wurde nicht mitgeteilt, welche der Panic-Apps von dem Quellcode-Klau betroffen sind. Der Web-Editor Coda sowie der beliebte FTP-Client Transmit stammen unter anderem von den Entwicklern. Da der Angreifer sich schließlich nicht an sein Versprechen, den Code geheimzuhalten, zu halten brauche, sei eine Zahlung des geforderten “großen Bitcoin-Lösegelds” wohl eh sinnlos, schreiben die Entwickler. Zudem enthalte der gestohlene Quelltext nicht mehr den aktuellen Stand der Software und werde mit jedem Tag älter.

Nutzer sollten, da es denkbar sei, dass der Angreifer mit Malware infizierte Versionen der geklauten Apps veröffentlicht, darauf achten, die Programme ausschließlich direkt beim Entwickler oder aus dem Mac App Store zu beziehen. In die Untersuchung des Angriffs seien sowohl Apple als auch das FBI involviert.

Bei der Installation erschleicht sich Proton mit einem nachgestellten Systemdialog den Zugang zum Admin-Passwort des Nutzers und entwendet damit die im macOS-Schlüsselbund zentral hinterlegten Zugangsdaten. Weiter versucht die Malware auch alle anderen lokalen Passwortdatenbanken an die Angreifer zu übermitteln – darunter etwa die von Browsern gespeicherten Zugangsdaten und die im Passwort-Manager 1Password hinterlegten Daten.

Für wenige Tage wurde der Schädling als Teil der Mac-Version des quelloffenen Videoencoders Handbrake zum Download angeboten. Die Ausführung des Trojaners soll inzwischen durch Apples in macOS integrierte Schutzfunktion XProtect unterbunden werden.

(mt, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE