Flashback.C

Trojaner deaktiviert Schutzfunktion unter Mac OS X

Die Sicherheitsfunktion File Quarantine von Mac OS X ist das Ziel eines neuen Trojaners, der so tut, als wäre er ein Installationsprogramm für den Flashplayer. Per Social Engineering wird versucht, den Nutzer zur Aufgabe seiner Sicherheit zu überreden.

Eine neue Trojaner-Variante ist in der Lage, eine Sicherheitsfunktion von Mac OS X für sich unschädlich zu machen. Wie F-Secure berichtet, kann die Schadsoftware mit dem Namen Trojan-Downloader:OSX/Flashback.C das automatische XProtect-Update unterbinden, das auch als File Quarantine bekannt ist. File Quarantine ist Apples eingebaute Schadsoftwareerkennung, die über automatische Aktualisierungen auch neue Versionen von Schadsoftware entdecken kann.

Flashback will offenbar verhindern, dass über ein Sicherheitsupdate die Funktionen des Programms unschädlich gemacht werden. Dazu löscht der Trojaner einige Dateien im System, die für File Quarantine zwingend notwendig sind. Anschließend sind Updates der Liste von Schadsoftware nicht mehr möglich. Die Softwareaktualisierung selbst wird offenbar nicht angegriffen, so dass Apple mit einem regulären Sicherheitsupdate eine Reparatur starten könnte.

Sollte Flashback nicht weitere Sicherheitslücken nutzen, dürfte die Deaktivierung von File Quarantine nicht möglich sein. Wir haben kurz getestet, ob die Dateien einfach entfernbar sind. Mit einem Standardnutzer sind die Dateien nicht löschbar, dazu werden Administratorrechte gebraucht. Selbst ein Administrator muss zur Löschung der Dateien per Hand erst einmal sein Passwort eingeben.

Social Engineering für erfolgreiche Angriffe

Flashback ist trotzdem gefährlich, denn der Trojaner versucht per Social Engineering, den Nutzer davon zu überzeugen, seinen Administratorzugang statt den normalen Standardzugang zu benutzen. Flashback gibt sich als Flashplayer Installer aus. Da der Flashplayer auf neueren Macs fehlt, sind viele Anwender daran interessiert, sich einen Flashplayer zu installieren. Webseiten mit der Intention, dem Nutzer zu schaden, leiten dann nicht auf die Webseite von Adobe, sondern auf eine Webseite mit Flashback.

Wird der Nutzer vom Angreifer zur Kooperation überredet, nützt auch die Trennung zwischen Standardnutzer und Administrator nichts. Auch der echte Flashplayer benötigt für die Installation Administratorrechte.

Apples Sicherheitsfunktion File Quarantine hatte im Juni 2011 viel zu tun, als Apple regelmäßig über Updates die Erkennung der Schadsoftware Mac Defender ermöglichte. Die Autoren des Mac Defender versuchten, sich dem anzupassen und ein Katz-und-Maus-Spiel begann. Auch beim Mac Defender wird Social Engineering als Angriffsmethode genutzt. Die Scareware gaukelt dem Anwender vor, dass er sich mit dem Mac Defender vor Schadsoftware schützen kann.

Vermutlich aufgrund des steigenden Marktanteils der Mac-Plattform wird diese mehr und mehr attraktiv für kriminelle Aktionen. Zudem lernen die Angreifer langsam, wie das System nachhaltig anzugreifen ist. Bisher beschränken sich die Angriffe auf die Methode Social Engineering. Das Ausnutzen gefährlicher Sicherheitslücken ist noch etwas sehr Seltenes und passiert vor allem durch Sicherheitsforscher.