Shlayer: Malware rutschte durch Apples Notarisierungsprozess

Obwohl er zu den verbreitetsten MacOS-Schadprogrammen gehört, rutschte der Trojaner Shlayer offenbar mehrmals durch die Sicherheitsprüfung.

Artikel veröffentlicht am , Anna Biselli
Die Malware Shlayer hat es durch Apples Notarisierungsprozess geschafft.
Die Malware Shlayer hat es durch Apples Notarisierungsprozess geschafft. (Bild: Domenico Loia/unsplash.com)

Wenn Software nicht von Apple als unbedenklich beglaubigt wird, lässt sie sich seit Beginn des Jahres nicht mehr auf aktuellen MacOS-Betriebssystemen installieren und ausführen. Ein Verfahren, das Apple Notarisierung nennt, sucht automatisch nach Schadcode und soll so Nutzer schützen. Doch dieser Notarisierung rutschte offenbar ausgerechnet die für MacOS bekannte Malware Shlayer durch, wie der Student Peter Dantini und IT-Sicherheitsforscher Patrick Wardle herausfanden.

Stellenmarkt
  1. Referent/in (w, m, d) Referat 101 - Digitale Koordinierungsstelle Versorgungsverwaltung stv. ... (m/w/d)
    Regierungspräsidium Stuttgart, Stuttgart-Vaihingen
  2. Doktorand*in (d/m/w) Machine Learning / Causal Reinforcement Learning
    OSRAM Opto Semiconductors Gesellschaft mit beschränkter Haftung, Regensburg
Detailsuche

Ein vermeintliches Flash-Player-Update führte zu der Installation der Malware, die nicht von Apples Sicherheitsprogramm Gatekeeper blockiert wurde. Ein Update-Hinweis tauchte auf, wenn Nutzer aus Versehen nicht die Seite des beliebten Paketmanagers Homebrew aufriefen, sondern eine ähnlich aussehende URL.

Die Schadsoftware Shlayer ist laut Kaspersky eine der verbreitetsten Bedrohungen für MacOS-Nutzer. Der Trojaner wird vor allem dafür genutzt, Adware zu laden und Nutzern unerwünschte Werbung auszuspielen.

Nachdem die Forscher Apple kontaktierten, zog das Unternehmen letzten Freitag die Code-Signing-Zertifikate der Entwickler zurück. Kurz darauf sei aber wieder eine Malware-Kampagne mit beinahe identischem und dennoch weiterhin notarisiertem Payload aufgetaucht. Gegenüber Techcrunch gab Apple an, dass auch die neue Variante mittlerweile blockiert werde. Es sei ein "Katz-und-Maus-Spiel zwischen den Angreifern und Apple", schreibt Wardle in einem Blogpost.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Elektrisches Showcar
Maybach hat Solarzellen und durchsichtige Motorhaube

Virgil Abloh und Mercedes-Benz haben einen solarbetriebenen, elektrischen Maybach mit transparenter Motorhaube als Showcar entworfen.

Elektrisches Showcar: Maybach hat Solarzellen und durchsichtige Motorhaube
Artikel
  1. Ziele gänzlich verfehlt: Rechnungshof hält De-Mail für teuren Misserfolg
    "Ziele gänzlich verfehlt"
    Rechnungshof hält De-Mail für teuren Misserfolg

    Das Innenministerium hat die Nutzung von De-Mail um den Faktor 1.000 falsch eingeschätzt. Es soll daher die Einstellung des Dienstes prüfen.

  2. Pornhub, Youporn, Mydirtyhobby: Gericht bestätigt Zugangsverbot für Pornoportale
    Pornhub, Youporn, Mydirtyhobby
    Gericht bestätigt Zugangsverbot für Pornoportale

    Die Landesmedienanstalt NRW hat zu Recht gegen drei Pornoportale mit Sitz in Zypern ein Zugangsverbot verhängt.

  3. Actionserie: Respawn stoppt Verkauf von Titanfall
    Actionserie
    Respawn stoppt Verkauf von Titanfall

    Das erste Titanfall verschwindet aus den Stores. Unklar ist: Droht das Ende der Serie - oder winkt ein Neuanfang?

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • PS5 jetzt bestellbar • Gaming-Monitore zu Bestpreisen (u. a. Samsung G9 49" Curved QLED 240Hz 1.149€) • Zurück in die Zukunft Trilogie 4K 31,97€ • be quiet 750W-PC-Netzteil 87,90€ • Spiele günstiger: PC, PS5, Xbox, Switch • Gaming-Stühle zu Bestpreisen • Crucial-RAM (u. a. 16GB Kit 3600 73,99€) [Werbung]
    •  /