Sicherheitslücke wird seit 2014 für gezielte Angriffe auf Mac-Rechner ausgenutzt

Malwarebytes hat vor einer Sicherheitslücke in MacOS gewarnt, die offenbar schon seit über zwei Jahren für zielgerichtete Angriffe ausgenutzt wird. Hacker können die Schwachstelle ausnutzen, um Schadcode einzuschleusen und eine Hintertür auf Macs einzurichten. Entdeckt wurde die Quimitchin genannte Backdoor den Forschern zufolge von einem Administrator, der in seinem Unternehmen ungewöhnlichen Netzwerk-Traffic zu einem Mac zurückverfolgen konnte.

Quimitchin besteht aus einer .plist-Datei und einer .client-Datei. Erstere sorgt dafür, dass die .client-Datei ständig ausgeführt wird. Letztere enthält ein verschleiertes Perl-Skript. Das sorgt für die Kommunikation mit dem Command-and-Control-Server unter “eidk.hopto.org”

Das Perl-Skript kann Screenshots aufzuzeichnen, die Webcam anzapfen und eine Java-Class-Datei auszuführen, die nicht im Dock angezeigt wird. “Das sind einige wirklich veraltete Funktionen, zumindest in der Technik-Welt, die aus der Zeit vor OS X stammen. Außerdem enthält die Binärdatei Code der Open-Source-Bibliothek libjpeg, die zuletzt 1998 aktualisiert wurde”, erläutert Malwarebytes.

Die Java-Class-Datei dient dazu, die Position des Mauszeigers zu erfassen, sie zu verändern odr gar Maus- und Tastatureingaben zu simulieren. “Diese Komponente scheint dafür gedacht zu sein, eine rudimentäre Fernbedienungsfunktion bereitzustellen.” Ein weiteres, vom Befehlsserver nachgeladenes Perl-Skript erstelle eine Übersicht aller im lokalen Netzwerk vorhandenen Geräte und erfasse deren Namen, IPv4- und IPv6-Adressen sowie die verwendeten Ports. Zudem versuche es, Kontakt zu weiteren Geräten im Netzwerk aufzunehmen.

Mithilfe der Datenbank von Virustotal fanden die Forscher mehrere ausführbare Windows-Dateien, die mit demselben Befehlsserver kommunizieren. Sie wurden bei Virustotal nur einmal im Sommer 2013 eingereicht. Aktuell würden sie nur von wenigen Antivirenprogrammen erkannt.

Teile des Codes von Quimitchin legen es nahe, dass die Backdoor bereits seit 2014 verwendet wird. Die Malware sei prinzipiell leicht zu erkennen und zu entfernen. Da sie aber offenbar nur bei sehr wenigen Rechnern im Bereich der biomedizinischen Forschung eingesetzt wurde, ist sie bisher nicht aufgefallen.

Laut Malwarebytes bezeichnet Apple die Schadsoftware als “Fruitfly”. Das Unternehmen habe bereits ein Update entwickelt. Es wird automatisch im Hintergrund heruntergeladen und soll vor der Infektionen mit Fruitfly/Quimitchin schützen.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.