CrashStealer und PamStealer: Zwei neue macOS-Schädlinge umgehen Apples Gatekeeper

Gatekeeper-Umgehung durch notariell beglaubigten Dropper. Die Infektionskette beginnt mit einer Erst-Stufen-App namens Werkbit – einer signierten, von Apple notariell beglaubigten App mit einer gültigen Developer-ID des angeblichen Entwicklers „Emil Grigorov“ ^TAJ. Da Apples Notardienst sie genehmigt hat, behandelt Gatekeeper sie als vertrauenswürdig und zeigt nicht die übliche Warnung vor einer nicht identifizierten Quelle an ^AJ. Sobald der Nutzer Werkbit manuell herunterlädt und öffnet, lädt ein Skript im Hintergrund die eigentliche CrashStealer-Schadsoftware herunter ^TJ.

Zieldaten: breit gefächert. CrashStealer sammelt in großem Umfang Daten aus dem System:

• Browser-Zugangsdaten von Chrome, Firefox, Edge, Brave, Opera und Vivaldi ^TJ.
• Ungefähr 14 Passwort-Manager, darunter 1Password ^TA.
• Rund 80 Browser-Erweiterungen für Kryptowährungs-Wallets sowie lokale Wallet-Dateien ^TA.
• macOS-Keychain-Daten und System-Passwörter ^TJ.

Wesentliche Techniken.

• Lokale Passwortprüfung vor dem Abtransport. CrashStealer fordert den Nutzer über einen gefälschten Systemdialog, der wie die echte Apple-Eingabeaufforderung gestaltet ist, zur Eingabe des Mac-Anmeldepassworts auf und überprüft es dann lokal, bevor es mit dem Datendiebstahl beginnt – so wird sichergestellt, dass die Angreifer ein funktionierendes Passwort erhalten ^TJ.
• AES-GCM-Verschlüsselung der gestohlenen Dateien vor der Übermittlung an einen entfernten Command-and-Control-Server (C2), was die Erkennung auf Netzwerkebene erschwert ^TJ.
• Persistenz und Tarnung. Nach der Infektion zeigt die Malware einen täuschend echten gefälschten Absturzbericht-Bildschirm, kopiert sich selbst nach ~/Library/Caches/com.apple.crashreporter/ und erstellt einen LaunchAgent namens com.apple.crashreporter.helper, um nach Neustarts zu überleben ^FB.
• Die Malware fordert zudem die Berechtigung für den „Vollen Festplattenzugriff“ an, um ihre Diebstahlmöglichkeiten zu erweitern ^F.

Apples Reaktion. Apple widerrief das Signaturzertifikat von Werkbit, nachdem Jamf die Malware gemeldet hatte ^TA.

PamStealer: Ein Rust-basierter Datendieb, der Passwörter über Apples eigene PAM-API überprüft

Was es ist. PamStealer ist ein zweistufiger, in Rust geschriebener Infostealer für macOS, der von Jamf am 2. Juli 2026 veröffentlicht wurde ^AAS. Sein Name leitet sich von der neuartigen Nutzung der Pluggable Authentication Modules (PAM)-API von Apple ab, um gestohlene Passwörter zu verifizieren ^AMDA.

Verbreitung und Gatekeeper-Umgehung. PamStealer wird über typografisch ähnliche Domains (Typosquatting) verbreitet, die die legitime Zwischenablage-App Maccy imitieren (z. B. maccyapp[.]com) ^MIA. Der Angriff umgeht Gatekeeper durch eine bekannte, aber nicht gepatchte Schwachstelle im macOS Script Editor:

• Das Opfer lädt ein manipuliertes Datenträgerabbild herunter, das eine kompilierte .scpt-AppleScript-Datei enthält ^AAS.
• Der Köder fordert den Nutzer auf, die Datei in Script Editor zu öffnen und die Tastenkombination Command-R zu drücken, um sie auszuführen ^AAS.
• Da Script Editor eine vertrauenswürdige Systemanwendung ist, werden die com.apple.quarantine-Schutzmechanismen von Gatekeeper umgangen, und es wird keine Warnung angezeigt ^MDA.

Zieldaten. Die zweite Stufe, der Rust-Schädling, stiehlt:

• macOS-Anmeldepasswörter (via PAM) und das lokale Admin-Passwort ^MA.
• Im Browser gespeicherte Zugangsdaten, Cookies und den Inhalt der Zwischenablage ^AS.
• Inhalte der macOS-Keychain ^AS.
• Ethereum-Wallet-Dateien und SSH-Schlüssel ^SY.

Wesentliche Technik – PAM-basierte Passwortprüfung. Dies ist die charakteristische Innovation von PamStealer:

• Wenn macOS eine Standard-Authentifizierungsaufforderung anzeigt („Maccy möchte Änderungen vornehmen“), gibt der Nutzer sein Passwort ein ^DA.
• Anstatt das Passwort blind zu erfassen, ruft PamStealer Apples eigene PAM-API (pam_start, pam_authenticate) auf, um das Passwort vor der Aufzeichnung gegen den Authentifizierungsstack des Systems zu testen ^AMDA.
• Ist das Passwort korrekt, wird es abtransportiert, und die Malware beginnt mit dem Sammeln weiterer Zugangsdaten. Ist es falsch, kann sie einen erneuten Versuch starten oder abbrechen – das Risiko, Ressourcen für ein ungültiges Passwort zu verschwenden, wird minimiert ^DAS.
• Diese Technik hinterlässt weniger forensische Spuren als typische Keylogger oder Speicherscanner, da sie Apples eigene API zur Überprüfung nutzt, anstatt Systemaufrufe zu manipulieren oder Arbeitsspeicher auszulesen ^DA.

Bedeutung für die Bedrohungslandschaft für Mac-Malware

• Notarielle Beglaubigung als Waffe. CrashStealer zeigt, dass Angreifer erfolgreich schädliche Apps bei Apples Notardienst einreichen und Gatekeeper-umgehende Signaturen erhalten können ^TJ. Apples Widerrufsprozess ist reaktiv, nicht präventiv – die Malware kann sich tagelang oder wochenlang verbreiten, bevor das Zertifikat widerrufen wird. Dies folgt einem Muster, das bereits bei früherer Malware wie MacSync und der Odyssey-Stealer-Familie zu beobachten war, die ebenfalls gültige Apple-Entwicklersignaturen missbrauchten ^MFS.

• Script Editor als blinde Stelle. Sowohl PamStealer als auch eine wachsende Zahl aktueller macOS-Bedrohungen nutzen die Tatsache aus, dass die Ausführung von AppleScripts über vertrauenswürdige Systemanwendungen Gatekeeper vollständig umgeht. Jamf weist darauf hin, dass es sich um eine dokumentierte, aber immer noch nicht geschlossene Sicherheitslücke handelt ^DA.

• macOS-Infostealer werden anspruchsvoller. Der Einsatz von AES-GCM-Verschlüsselung für gestohlene Daten (CrashStealer) und der PAM-API-Prüfung (PamStealer) zeigt, dass Angreifer in maßgeschneiderte, heimliche Methoden investieren, anstatt auf Schadsoftware von der Stange zurückzugreifen ^DTJ. Microsoft wies im Februar 2026 ebenfalls auf einen breiteren Trend bei macOS-, Python- und plattformübergreifenden Infostealern hin, die „ClickFix“-Social-Engineering-Köder nutzen, um Browser-Passwörter, Krypto-Wallets und Cloud-Zugangsdaten zu stehlen ^M.

• Lokale Passwortprüfung als neuer Zuverlässigkeits-Boost. Statt Passwörter blind zu sammeln oder zu erraten, bestätigen beide Schädlinge die Gültigkeit des Passworts auf dem Gerät des Opfers, bevor sie es abtransportieren – das erhöht die Erfolgsquote der Angreifer und verringert die Wahrscheinlichkeit einer Entdeckung durch fehlgeschlagene Anmeldeversuche ^TJ. Dies ist eine bedeutende Weiterentwicklung: Typische Infostealer erfassen entweder alles, was eingetippt wird, oder nutzen Techniken wie dscl oder security-Kommandos, die fehlschlagen oder Alarm auslösen können ^DS.