SHub Reaper: Wie eine neue macOS‑Malware Nutzer täuscht und sensible Daten stiehlt

Was SHub Reaper ist

SHub Reaper gehört zur Kategorie der Infostealer‑Malware. Diese Programme sind darauf ausgelegt, möglichst viele wertvolle Daten von infizierten Geräten zu sammeln und an Angreifer zu übermitteln.

Die Malware ist Teil der größeren SHub‑Stealer‑Familie, die bereits in mehreren Kampagnen gegen Mac‑Nutzer beobachtet wurde. Typische Ziele sind Zugangsdaten, Cloud‑Informationen und Kryptowallets.

Nach der Installation versucht SHub Reaper unter anderem folgende Daten auszulesen:

• gespeicherte Browser‑Passwörter und Logins
• Inhalte der Apple Keychain (der integrierte Passwort‑Speicher von macOS)
• iCloud‑bezogene Daten
• lokale Dateien und Medien
• Informationen aus Kryptowallet‑Apps

Analysen zeigen außerdem, dass SHub‑Varianten Daten aus verschiedenen Browsern, Messaging‑Sessions und Kryptobörsen‑Erweiterungen sammeln können.

Wie der mehrstufige Angriff funktioniert

Der Angriff nutzt kaum klassische Software‑Exploits. Stattdessen setzen die Angreifer auf Social Engineering – also psychologische Tricks, um Nutzer selbst zum Ausführen des Schadcodes zu bewegen.

Typischerweise läuft die Infektionskette in mehreren Phasen ab.

1. Gefälschte Downloads oder Updates

Zunächst landen Opfer auf einer manipulierten Download‑Seite oder einem angeblichen Update‑Dialog, der legitime Software imitiert.

Beobachtete Köder sind zum Beispiel:

• Fake‑Installer für Programme wie WeChat oder Miro
• Webseiten, die sich als Tools wie CleanMyMac ausgeben
• angebliche Apple‑Sicherheitsupdates

Um Vertrauen zu erzeugen, werden teilweise Domains genutzt, die Microsoft‑Infrastruktur imitieren, oder die Malware wird als Bestandteil eines Apple‑Sicherheitstools dargestellt.

2. Der „ClickFix“-Trick

Viele dieser Angriffe verwenden eine Social‑Engineering‑Methode namens ClickFix. Dabei wird Nutzern erklärt, sie müssten einen Fehler beheben oder eine Installation abschließen, indem sie einen Befehl in das macOS‑Terminal kopieren und einfügen.

Der Befehl sieht oft harmlos aus und soll angeblich eine Software installieren oder ein Problem lösen. In Wirklichkeit lädt er jedoch Schadcode herunter und startet ihn.

Da der Nutzer den Befehl selbst ausführt, umgehen Angreifer häufig Sicherheitswarnungen, die normalerweise beim Start unbekannter Programme erscheinen.

3. Mehrstufige Skript‑Kette

Der eingefügte Befehl kann eine mehrstufige Ausführungskette starten. Ein typisches Beispiel aus Analysen:

• Ein verschleierter curl‑Befehl lädt einen komprimierten Loader herunter
• Der Loader wird über die Shell (z. B. zsh) gestartet
• Anschließend wird ein AppleScript‑Payload ausgeführt, der die eigentliche Malwarefunktion übernimmt

Diese Aufteilung in mehrere Stufen erschwert es Sicherheitslösungen, den Angriff frühzeitig vollständig zu erkennen.

Welche Daten SHub Reaper ins Visier nimmt

Das Ziel der Malware ist breit angelegte Datensammlung – vor allem Informationen, die sich schnell monetarisieren lassen.

Zu den beobachteten Zielobjekten gehören:

• gespeicherte Browser‑Passwörter
• Apple‑Keychain‑Einträge
• iCloud‑Daten
• lokale Dokumente und Dateien
• Messaging‑Sessions, etwa von Telegram
• Kryptowallet‑Apps und Wallet‑Daten

In einigen Kampagnen werden sogar legitime Wallet‑Programme durch trojanisierte Versionen ersetzt, um später Seed‑Phrases oder Guthaben zu stehlen.

Persistenz: Wie die Malware auf dem Mac bleibt

Damit die Malware nach einem Neustart aktiv bleibt, installiert SHub Reaper laut Berichten einen LaunchAgent, der als legitimer Dienst getarnt ist – etwa unter dem Namen „GoogleUpdate“.

LaunchAgents sind ein gängiger Mechanismus in macOS: Sie starten automatisch Programme oder Skripte, sobald sich ein Benutzer anmeldet.

Zusätzlich nutzt die Malware mehrere Tarntechniken:

• Einsatz von AppleScript und legitimen macOS‑Prozessen, um unauffällig zu wirken
• Aufteilung der Malware in mehrere kleine Skripte
• Ausführung über vom Nutzer gestartete Terminal‑Befehle

Diese Methoden erschweren die Erkennung durch klassische Signatur‑Scanner.

Warum macOS‑Schutzmechanismen teilweise umgangen werden

macOS verfügt über eingebaute Sicherheitsfunktionen wie Gatekeeper und XProtect, die Downloads auf bekannte Malware prüfen.

Angriffe wie SHub Reaper umgehen diese Mechanismen teilweise, weil:

• der Benutzer den Befehl selbst im Terminal ausführt
• der Schadcode in mehreren Stufen nachgeladen wird
• einzelne Komponenten als legitime Systemtools erscheinen

Wenn der Angriff nicht über eine klassische App‑Installation erfolgt, greifen manche Prüfmechanismen weniger strikt.

Wie sich Mac‑Nutzer schützen können

Der Angriff wirkt komplex, basiert aber hauptsächlich auf Täuschung. Einige einfache Verhaltensregeln reduzieren das Risiko erheblich.

1. Niemals Terminal‑Befehle aus Webseiten kopieren.
Wenn eine Seite dazu auffordert, einen Befehl einzufügen, um ein Problem zu „reparieren“, sollte man äußerst skeptisch sein.

2. Updates nur über offizielle Quellen installieren.
Nutzen Sie macOS‑Softwareupdate, den Mac App Store oder die offizielle Website eines Herstellers.

3. System und Browser aktuell halten.
Apple aktualisiert Sicherheitskomponenten wie XProtect regelmäßig, um neue Malware zu erkennen.

4. Sensible Konten überwachen.
Bei Verdacht auf eine Infektion sollten Passwörter sofort von einem sauberen Gerät geändert und Wallet‑ sowie Cloud‑Konten überprüft werden.

5. Sicherheitssoftware verwenden.
Professionelle Endpoint‑Security‑Tools können verdächtige Skripte, Persistenzmechanismen oder ungewöhnliche Netzwerkaktivitäten erkennen.

Ein wachsender Trend: macOS‑Infostealer

SHub Reaper ist Teil einer größeren Entwicklung. Mit der zunehmenden Verbreitung von Macs in Unternehmen und im Entwicklerumfeld werden sie immer häufiger Ziel von spezialisierter macOS‑Malware.

Die wichtigste Erkenntnis: Moderne Mac‑Angriffe brechen selten direkt in ein System ein – sie bringen den Nutzer dazu, ihnen selbst die Tür zu öffnen. Vorsicht bei Downloads, Installern und Terminal‑Befehlen bleibt deshalb der wirksamste Schutz.