Auch Macs sind nicht sicher: Neue Malware hat es auf Krypto abgesehen

Eine neue macOS-Malware stellt eine erhebliche Gefahr für Nutzer von Telegram Desktop und Krypto-Wallets dar. Nach Angaben des Sicherheitsunternehmens SlowMist kann die Schadsoftware aktive Telegram-Sitzungen entwenden, Passwörter auslesen und Dateien von Krypto-Wallets kopieren. Cyberkriminelle können dadurch im schlimmsten Fall die Kontrolle über Konten und Krypto-Bestände übernehmen. Bemerkenswert ist, dass selbst die Zwei-Faktor-Absicherung von Telegram diesen Angriff nicht verhindert.

Telegram und Krypto-Wallets im Visier

Laut SlowMist ist die Malware darauf ausgelegt, möglichst viele sensible Daten von einem Mac abzugreifen. Dazu gehören unter anderem der macOS-Schlüsselbund, in dem Passwörter gespeichert werden, Safari-Cookies, Apple Notes, Telegram Desktop sowie Dateien verschiedener Krypto-Wallets.

Darüber hinaus kopiert die Malware aktive Telegram-Sitzungen, Wallet-Dateien und Daten aus Browser-Erweiterungen, die für Krypto-Anwendungen genutzt werden. Mit diesen Informationen können Angreifer schließlich Konten und Wallets übernehmen.

Nach dem Datendiebstahl versuchen Cyberkriminelle, Wallet-Dateien offline mit Passwörtern zu entsperren, die ebenfalls von dem infizierten Gerät stammen.

SlowMist warnt zudem vor einer zweiten Angriffsmethode. Dabei ersetzen Angreifer die offizielle Software von Hardware-Wallets wie Ledger Live und Trezor Suite durch gefälschte Versionen. Nutzer sollen anschließend dazu gebracht werden, ihre Wiederherstellungsphrase einzugeben. Mit dieser Wortfolge lässt sich eine Wallet vollständig wiederherstellen, wodurch Angreifer direkten Zugriff auf alle Krypto-Bestände erhalten.

Das Sicherheitsunternehmen teilte mit, dass diese gesamte Angriffskette in einer kontrollierten Testumgebung erfolgreich nachgestellt wurde.

Viele Wallets sind gefährdet

Die Malware zielt auf eine große Zahl populärer Wallets ab. Zu den betroffenen Software-Wallets zählen unter anderem Exodus, Atomic Wallet, Electrum, Wasabi Wallet und Monero.

Auch Anwendungen für Hardware-Wallets, darunter Ledger Live und Trezor Suite, stehen im Fokus. Zudem sucht die Malware nach Daten von Full-Node-Programmen wie Bitcoin Core, Litecoin Core, Dash Core und Dogecoin Core. Mit solchen Programmen verwalten Nutzer selbst eine vollständige Kopie einer Blockchain.

Durch die Kombination mehrerer Angriffstechniken erhöhen Cyberkriminelle ihre Chancen, Zugriff auf Wallets und die dazugehörigen Konten zu erhalten.

Zwei-Faktor-Schutz greift nicht

Auffällig ist, dass die Zwei-Faktor-Absicherung von Telegram diesen Angriff nicht verhindern kann. Normalerweise soll diese zusätzliche Sicherheitsebene verhindern, dass Unbefugte sich in ein Konto einloggen.

In diesem Fall erfolgt jedoch keine neue Anmeldung. Die Malware missbraucht eine bereits verifizierte Telegram-Desktop-Sitzung, die auf dem infizierten Mac vorhanden ist. In Tests gelang es Forschern, eine gestohlene Telegram-Sitzung auf einem anderen Mac wiederherzustellen, ohne eine Telefonnummer, einen Bestätigungscode oder das Passwort für die Zwei-Faktor-Absicherung einzugeben.

SlowMist rät Nutzern, die eine Infektion ihres Macs vermuten, umgehend alle aktiven Telegram-Sitzungen zu beenden. Anschließend sollten sie sich von einem vertrauenswürdigen Gerät aus erneut anmelden und sowohl das Passwort für die Zwei-Faktor-Absicherung als auch den Zugangscode von Telegram Desktop ändern.

Für Besitzer von Krypto-Wallets ist die Empfehlung noch dringlicher. Sie sollten auf einem sauberen Gerät eine vollständig neue Wiederherstellungsphrase erstellen und alle Krypto-Bestände so schnell wie möglich auf neue Wallet-Adressen übertragen. So sinkt das Risiko, dass Angreifer nachträglich Zugriff auf bestehende Wallets erhalten.