Die neue Variante des offenbar weit verbreiteteten Mac-Trojaner "Shlayer" wird in einer neuen Variante ausgeliefert, die versucht, Apples in macOS integrierte Schutzfunktion Gatekeeper ganz abzuschalten. Die Malware ist mit einem Apple-Entwickler-Zertifikat signiert, erklären Sicherheitsforscher, so dass die in macOS integrierte Schutzfunktion Gatekeeper nicht anschlägt. Um Installationsroutinen auszuführen, sobald der Nutzer den vermeintlichen Flash-Updater ausführt werden zudem gängige Kommandozeilen-Tools verwendet.

Die modifizierte Form des Trojaners setzt auf eine Technik, die der Sicherheitsforscher Patrick Wardle schon 2017 auf der Hacker-Konferenz Defcon vorgestellt hat, um Root-Rechte zu erlangen, erklärt die Sicherheitsfirma Carbon Black. Die von Apple abgekündigte Funktion AuthorizationExecuteWithPrivileges werde dafür eingesetzt und so ein gängiger Systemdialog eingeblendet, der das Passwort zur Installation der Software abfragt. Auch beim Einspielen legitimer Software ist ein derartiger Dialog häufig anzutreffen und dürfte viele Anwender nicht abschrecken.

Falls der Nutzer sein Passwort eingibt, könne die Malware anschließend die Schutzfunktion Gatekeeper abschalten und erhält dadurch die Möglichkeit, weiteren Code nachzuladen und ungehindert auszuführen. Dabei wurde in den analysierten Varianten der Malware nur vergleichsweise harmlose Adware auf dem Mac eingeschleust, heißt es in der Analyse der Firma, die Payload könne sich aber jederzeit ändern.

Über Webseiten wird der seit mindestens einem Jahr kursierende Schädling Shlayer in großem Stil ausgeliefert – sowie in Bannerwerbung versteckt und kann so auch beim Besuch legitimer Seiten auf den Mac gelangen oder zumindest zum Download angeboten werden.

Außerdem warnt ein Entwickler davor, dass ein Bug in macOS 10.14 Apps erlaubt, den Browser-Verlauf von Safari auszulesen. Bis hin zu macOS 10.13 war das ohne weiteres möglich, Version 10.14 Mojave soll dies aber eigentlich verhindern. Selbst von durch Apple beglaubigten Apps lasse sich der Bypass wohl einsetzen, schreibt der Entwickler Jeff Johnson, der den Fehler an den Hersteller gemeldet hat.

(jf, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE