Microsoft: gefälschte macOS-Fehlerbehebungs-Seite deployt ClickFix, um Krypto-Wallet-Schlüssel zu stehlen

Laut Cryptopolitan vom 11. Mai hat das Sicherheitsteam von Microsoft Defender die Ergebnisse seiner Untersuchung veröffentlicht. Dabei stellte es fest, dass Angreifer seit Ende 2025 auf Plattformen wie Medium und Craft gefälschte macOS-Fehlerbehebungsanleitungen veröffentlicht haben, um Nutzer dazu zu verleiten, bösartige Befehle im Terminal auszuführen und so bösartige Software zu installieren, die Krypto-Wallet-Schlüssel, iCloud-Daten sowie in Browsern gespeicherte Passwörter stiehlt.

Angriffsmechanismus: ClickFix umgeht macOS Gatekeeper

Laut dem Bericht des Microsoft Defender-Sicherheitsteams nutzt der Angreifer eine als ClickFix bekannte Social-Engineering-Technik: Auf Plattformen wie Medium, Craft und Squarespace werden macOS-Fehlerbehebungsanleitungen veröffentlicht, die so gestaltet sind, als würden sie Speicherplatz freigeben oder Systemfehler beheben. Sie sollen Nutzer dazu bringen, bösartige Befehle zu kopieren und in das macOS Terminal einzufügen. Nach der Ausführung lädt der Befehl automatisch die Schadsoftware herunter und startet sie.

Laut dem Microsoft-Bericht umgeht diese Vorgehensweise den Sicherheitsmechanismus von macOS Gatekeeper. Der Grund: Gatekeeper prüft Code-Signaturen und notarielle Bestätigungen für Anwendungen, die über den Finder geöffnet werden, aber der Weg, wie Nutzer Befehle direkt im Terminal ausführen, unterliegt diesem Prüf-Schritt nicht. Die Forschenden stellten zudem fest, dass Angreifer curl, osascript und andere native macOS-Tools verwenden, um bösartigen Code direkt im Speicher auszuführen (Dateiloser Angriff), wodurch Standard-Antiviren-Tools schwerer erkennen können.

Schadsoftware-Familien, Diebstahlumfang und spezielle Mechanismen

Laut dem Microsoft-Bericht umfasst diese Angriffsaktivität drei Schadsoftware-Familien (AMOS, Macsync, SHub Stealer) sowie drei Arten von Installationsprogrammen (Loader, Script, Helper). Zu den gestohlenen Zieldaten gehören:

Krypto-Wallet-Schlüssel: Exodus, Ledger, Trezor

Kontoanmeldedaten: iCloud, Telegram

Im Browser gespeicherte Passwörter: Chrome, Firefox

Private Dateien und Fotos: lokale Dateien mit weniger als 2 MB

Nach der Installation zeigt die Schadsoftware gefälschte Dialogfelder an, die den Nutzer auffordern, das Systemkennwort einzugeben, um „Hilfswerkzeuge“ zu installieren. Wenn der Nutzer das Kennwort eingibt, kann der Angreifer vollständigen Zugriff auf Dateien und Systemkonfigurationen erlangen. Microsoft berichtet außerdem, dass Angreifer in manchen Fällen die legitimen Anwendungen Trezor Suite, Ledger Wallet und Exodus löschen und sie durch Versionen ersetzen, die einen Trojaner enthalten, um Transaktionen zu überwachen und Gelder zu stehlen. Darüber hinaus enthält die von der oben genannten Schadsoftware geladene Komponente einen Kill Switch: Erkennt sie ein russisches Tastaturlayout, stoppt die Schadsoftware die Ausführung automatisch.

Zugehörige Angriffsaktivitäten und Apples Schutzmaßnahmen

Laut einer Untersuchung von ANY.RUN-Sicherheitsforschern hat die Lazarus Group eine Hacker-Aktivität namens „Mach-O Man“ gestartet. Dabei werden dieselben Techniken wie bei ClickFix verwendet, um über gefälschte Meeting-Einladungen anzugreifen und dabei vor allem Finanztechnologie- und Krypto-Unternehmen mit macOS als Hauptbetriebssystem zu ins Visier zu nehmen.

Cryptopolitan berichtet außerdem, dass die nordkoreanische Hackergruppe Famous Chollima mithilfe von KI Code generiert und bösartige npm-Pakete in Krypto-Handelsprojekte einschleust. Diese Schadsoftware nutzt eine zweistufige Verschleierungsarchitektur und stiehlt Wallet-Daten sowie Systemgeheimnisse.

Laut Bericht hat Apple in der macOS-26.4-Version neue Schutzmechanismen ergänzt, die verhindern, dass als potenziell bösartig markierte Befehle in das macOS-Terminal eingefügt werden.

Häufige Fragen

Seit wann begann die von Microsoft Defender offengelegte ClickFix-macOS-Angriffsaktivität und auf welchen Plattformen wurde sie veröffentlicht?

Laut dem Bericht des Microsoft Defender-Sicherheitsteams und Cryptopolitan vom 11. Mai 2026 begann die Angriffsaktivität Ende 2025, als die Angreifer damit starteten, gefälschte macOS-Fehlerbehebungsanleitungen auf Plattformen wie Medium, Craft und Squarespace zu veröffentlichen. So sollten Mac-Nutzer dazu gebracht werden, bösartige Terminal-Befehle auszuführen.

Welche Krypto-Wallets und Datentypen werden bei dieser Angriffsaktivität ins Visier genommen?

Laut dem Microsoft Defender-Bericht können die beteiligten Schadprogramme (AMOS, Macsync, SHub Stealer) Krypto-Wallet-Schlüssel von Exodus, Ledger und Trezor stehlen, außerdem Kontodaten von iCloud und Telegram sowie Benutzernamen und Passwörter, die in Chrome und Firefox gespeichert sind.

Welche Schutzmaßnahmen hat Apple für diese Art von Angriffen eingeführt?

Laut dem Bericht hat Apple in der macOS-26.4-Version einen Schutzmechanismus ergänzt, der verhindert, dass als potenziell bösartig markierte Befehle in das macOS-Terminal eingefügt werden. Dadurch soll die Erfolgsrate von Social-Engineering-Angriffen vom Typ ClickFix gesenkt werden.