Auf den Punkt: Eine nordkoreanische Hacking-Gruppe erweitert ihre Angriffe auf macOS um eine neue ClickFix-Taktik, die über vermeintliche Systemabstürze zur Malware-Installation führt und die Blockchain zur Verschleierung von Kontrollservern nutzt.
Eine der Nordkorea zugeordneten Gruppe Operation Contagious Interview wird eine neue Angriffsmethode gegen macOS-Systeme zugeschrieben: Sie nutzt manipulierte Suchanzeigen und täuschte Systemabsturzwarnungen vor, um Nutzer dazu zu bringen, schädliche Terminal-Befehle auszuführen.
Die Kampagne beginnt mit einer gesponserten Suchanzeige, auf deren präparierter Seite eine Vollbildmeldung einen laufenden macOS-Neustart vortäuscht. Diese sogenannte ClickFix-Technik kopiert unbemerkt einen Schadbefehl in die Zwischenablage und fordert das Opfer dann auf, das Terminal zu öffnen und diesen Befehl einzufügen. Nach Darstellung von AllSecure, dem die Kampagne aufgefallen ist, soll die Inszenierung Panik auslösen: Ein gefrorenes oder neustartend wirkendes System veranlasst Nutzer, Anweisungen zu befolgen, die sie normalerweise als verdächtig einstufen würden. Jeder erneute Aufruf derselben Seite erzeugt bewusst nicht dieselbe Sequenz – die Aktivierung ist auf einmalige Nutzung ausgelegt.
Der eingefügte Terminal-Befehl lädt über curl weitere Schadsoftware nach, darunter eine in Node.js geschriebene Backdoor, die sich über einen LaunchAgent dauerhaft im System verankert. Zur Steuerung nutzen die Angreifer die Methode EtherHiding: Die Adresse des Kontrollservers wird nicht fest im Schadcode hinterlegt, sondern wird bei Bedarf aus einem Ethereum-Smart-Contract ausgelesen. Die Backdoor meldet sich alle fünf Minuten beim Kontrollserver an und führt jeden von dort zurückgelieferten JavaScript-Code aus.
Über diesen Kanal stellen die Angreifer zwei weitere Schadprogramme bereit: einen Infostealer, der Browserdaten aus Chrome, Brave, Edge, Firefox, Opera und Vivaldi ausliest sowie Zugriffsschlüssel aus 157 verschiedenen Kryptowährungs-Wallets, SSH-, AWS-, Azure- und npm-Konten extrahiert, sowie eine als „Google Drive Offline“ getarnte schädliche Chrome-Erweiterung, die über eine Manipulation der Chrome-Konfigurationsdatei eingeschleust wird und zum Leeren von Wallets dient.
AllSecure identifizierte zwei in der Schadsoftware hinterlegte Ethereum-Adressen zur Auflösung des Kontrollservers. Die zugehörigen Smart Contracts wurden jeweils von Wegwerf-Wallets nach einem identischen viergliedrigen Muster erstellt: Finanzierung mit rund 0,0126 Ether, Bereitstellung des Contracts, Hinterlegung der Konfiguration, Weiterleitung des Restbetrags und Aufgabe des Wallets. Sowohl die Backdoor als auch die schädliche Browser-Erweiterung werden aus demselben Wallet-Cluster finanziert, was auf einen einzelnen dahinterstehenden Akteur hindeutet. CEO Christian Papathanasiou von AllSecure ordnet den Fund so ein: Kampagnen mit Bezug zu Nordkorea würden bislang meist im Zusammenhang mit gefälschten Jobinterviews beschrieben; der aktuelle Fall zeige jedoch dieselbe operative Logik nun auch im Kontext gewöhnlicher Websuchen, was das bisherige Bedrohungsmodell erweitere.
Quelle: www.it-daily.net · Erschienen 1. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.