Mac-Shareware-Downloads mit signiertem Trojaner
Die Apps Folx und Elmedia Player wurden nach einem Hack über deren Websites inklusive der "Proton"-Malware vertrieben. Der Hersteller empfiehlt eine Neuinstallation betroffener Maschinen.
(Bild: Hersteller)
Der Shareware-Anbieter Eltima hat mitgeteilt, dass zwei seiner macOS-Apps im Oktober zusammen mit dem Datenschädling "Proton" ausgeliefert wurden. Betroffen sind die Apps Elmedia Player (Multimedia-Abspieler) sowie Folx (Download-Manager), wie ZDNet berichtet. Laut bisherigen Erkenntnissen wurden die Server von Eltima gehackt – über eine Sicherheitslücke in der tiny_mce-JavaScript-Bibliothek.
Downloads am 19. Oktober
Nach Untersuchungen des Sicherheitsanbieters Eset besteht eine "große Wahrscheinlichkeit für User", sich Proton eingefangen zu haben, wenn sie sich den Elmedia Player am 19. Oktober vor 15:15 Uhr amerikanischer Ostküstenzeit (21:15 Uhr MEZ) heruntergeladen haben. Eltima zufolge wurde der Command & Control-Server für Proton am 15. Oktober registriert, die Malware aber nicht vor dem 19. Oktober vertrieben. Automatische Updates sollen nicht kompromittiert gewesen sein. Erkennbar ist eine Infektion an verschiedenen Dateien, die sich in mehreren Pfaden auf dem Mac befinden. Laut ESET lauten diese:
- /tmp/Updater.app/
- /Library/LaunchAgents/com.Eltima.UpdaterAgent.plist
- /Library/.rand/
- /Library/.rand/updateragent.app/
"Existiert etwas davon im Dateisystem, ist die kompromittierte Elmedia-Player-Software-Anwendung auf dem Computer ausgeführt worden und OSX/Proton läuft bereits", so das Sicherheitsunternehmen. Proton verhält sich äußerst problematisch.
Was sich Proton klaut
So schnappt sich die Malware Details zum Betriebssystem, Browser-Informationen samt Cookies, Lesezeichen und Verlauf, eventuell vorhandene Börsen von Kryptowährungen, SSH-Daten, die macOS-Keychain (mittels Chainbreaker-Tool), VPN-Konfigurationen von Tunnelblick, GnuPG-Daten, 1Password-Tresore sowie eine Liste installierter Anwendungen. Proton bleibe "hartnäckig auf dem System", so ESET. Der einzig sichere Weg sei die vollständige Neuinstallation des Betriebssystems – ohne direkte Übernahme der alten Daten.
Schädling hatte gültiges Zertifikat
Problematischerweise ist es den Proton-Machern gelungen, ihre Malware auch noch mit einem gültigen Zertifikat auszustatten – entsprechend schlägt die macOS-Systemsicherung Gatekeeper nicht an. Die Proton-Entwickler schrieben dazu extra einen Wrapper. Mittlerweile soll die entsprechende Apple-Developer-ID aber zurückgezogen worden sein und auf der Eltima-Website gibt es wieder saubere Versionen des Elmedia Player und von Folx. Betroffen war beim Elmedia Player nur der direkte Download von Eltima selbst, nicht etwa die Mac-App-Store-Version.
Der Angriff erinnert stark an eine ähnliche Attacke auf den populären Video-Encoder Handbrake. Dieser wurde nach einem Hack ebenfalls mit Malware verteilt – dabei handelte es sich ebenfalls um Proton. (bsc)
