{"id":33785,"date":"2026-08-07T11:51:33","date_gmt":"2026-08-07T09:51:33","guid":{"rendered":"https:\/\/www.kaspersky.de\/blog\/?p=33785"},"modified":"2026-08-07T11:51:33","modified_gmt":"2026-08-07T09:51:33","slug":"crashstealer-werkbit-macos-infostealer","status":"publish","type":"post","link":"https:\/\/www.kaspersky.de\/blog\/crashstealer-werkbit-macos-infostealer\/33785\/","title":{"rendered":"CrashStealer: Malware f\u00fcr macOS \u2013 notariell beglaubigt"},"content":{"rendered":"

Wenn es um Sicherheit geht, vertrauen Mac-Nutzer seit jeher ihrem Betriebssystem. Dieses Vertrauen beruht haupts\u00e4chlich auf Apples strenger Kontrolle \u00fcber sein \u00d6kosystem und der Tatsache, dass macOS in der Vergangenheit weniger von Massenangriffen betroffen war als Windows. Doch leider bedeutet dies nicht, dass Macs unverwundbar sind: Es gibt Bedrohungen, und es tauchen st\u00e4ndig neue auf. In den letzten Wochen haben Sicherheitsforscher unter anderem von zwei neuen Kampagnen berichtet, die es\u00a0 auf Apple-Ger\u00e4te abgesehen haben.<\/p>\n

Bei einer der Kampagnen wurde die Malware CrashStealer<\/a> verwendet, bei der anderen ClickLock<\/a>. Beide Sch\u00e4dlinge verwenden unterschiedliche Tricks, um die Nutzer zur Eingabe ihres Mac-Passworts zu bewegen. Mit dem Passwort kann der Angreifer dann Anmeldedaten, Krypto-Assets, Dokumente und vieles mehr stehlen. In diesem Artikel sehen wir uns genau an, wie CrashStealer funktioniert\u00a0und was du in diesem Fall f\u00fcr deine Sicherheit tun kannst.<\/p>\n

Eine Videokonferenz-App mit CrashStealer als Zugabe<\/h2>\n

Im Mai\u00a02026 registrierten Forscher die ersten Anzeichen dieser Malware. Anfang Juli stellten sie fest, dass sie in \u201efreier Wildbahn\u201c ihr Unwesen trieb. Ihren Namen verdankt die Malware einem grundlegenden Mechanismus: Sie tarnt sich als interner macOS-Absturzmelder (CrashReporter) und fungiert gleichzeitig als Infostealer, der sensible Daten stehlen kann.<\/p>\n

Die Forscher konnten eine der Websites zur\u00fcckverfolgen, von der Nutzer die Malware heruntergeladen hatten. Die Seite wirkt wie eine legitime Plattform, \u00fcber die Videokonferenz-Tools Werkbit vertrieben wird.<\/p>\n

\"\"<\/a>

Nach Angaben der Forscher wollten die Opfer von dieser Website Werkbit herunterladen. Stattdessen wurde ihnen der Malware-Loader f\u00fcr CrashStealer untergeschoben. Quelle <\/a><\/p><\/div>\n

Man kann die Software aber nicht einfach so von der Website herunterladen. Vor dem Download werden die Besucher aufgefordert, eine spezielle Meeting-PIN einzugeben. Dieses Vorgehen erm\u00f6glicht es den Angreifern, den Verbreitungsbereich einzuschr\u00e4nken und nur vorausgew\u00e4hlte Opfer anzugreifen. Wie die Cyberkriminellen ihre Ziele aussuchen und die PIN \u00fcbermitteln, ist bisher unbekannt.<\/p>\n

Nur die \u201egl\u00fccklichen\u201c Nutzer, die eine PIN haben, k\u00f6nnen die Malware \u201eWerkbit Setup\u201c installieren. Interessanterweise besitzt die Malware ein g\u00fcltiges Apple-Entwicklerzertifikat und hat den Notarization-Prozess von Apple (eine automatische Voruntersuchung auf b\u00f6sartigen Code) erfolgreich bestanden. Darum k\u00f6nnen die Angreifer den integrierten Gatekeeper-Schutz des Betriebssystems umgehen. B\u00f6sartige Aktionen k\u00f6nnen gestartet werden, ohne die \u00fcblichen Warnungen \u00fcber nicht vertrauensw\u00fcrdige Software auszul\u00f6sen.<\/p>\n

\"Signiertes<\/a>

Das Installationsprogramm von Werkbit Setup ist mit einem g\u00fcltigen Apple-Entwicklerzertifikat signiert und verf\u00fcgt \u00fcber eine Apple-Notarization. Quelle <\/a><\/p><\/div>\n

Nach dem Start wendet sich Werkbit Setup zun\u00e4chst an GitHub. Die Forscher vermuten, dass die Verwendung dieser beliebten Plattform den Angreifern hilft, die ersten Netzwerkanfragen weniger verd\u00e4chtig erscheinen zu lassen. Nachdem Anweisungen aus einem GitHub-Repository abgerufen wurden, verbindet sich das Programm direkt mit dem Server der Angreifer, um CrashStealer abzuholen.<\/p>\n

Anschlie\u00dfend speichert der Loader die Malware in einem tempor\u00e4ren macOS-Ordner, startet sie und l\u00f6scht den Gro\u00dfteil der zwischengespeicherten Setup-Dateien. Dadurch ist innerhalb von Sekunden nach dem Start von Werkbit Setup ein voll funktionsf\u00e4higer Infostealer betriebsbereit. Eine Videokonferenz-App erh\u00e4lt der Nutzer \u00fcbrigens nicht.<\/p>\n

So funktioniert CrashStealer<\/h2>\n

Anders als der Loader von Werkbit Setup ist die CrashStealer-Malware selbst nicht mit einem Apple-Entwicklerzertifikat signiert. Damit die Nutzer keinen Verdacht sch\u00f6pfen, tarnt sich die Malware als der in macOS integrierte Absturzmelder CrashReporter. Dazu verwendet sie denselben Namen, eine App-ID und ein \u00e4hnliches Symbol.<\/p>\n

Nach dem Start f\u00fchrt die CrashStealer-Malware eine Reihe von Schritten aus, um Zugriff auf vertrauliche Daten zu erhalten, sich im System einzunisten und ihre Spuren zu verwischen:<\/p>\n

    \n
  1. Sie entfernt Metadaten (einschlie\u00dflich des Attributs, das die App als Internet-Download kennzeichnet).<\/li>\n
  2. Sie zeigt eine gef\u00e4lschte Systemabfrage an, die das macOS-Passwort des Nutzers abfragt.<\/li>\n
  3. Sie verwendet die zuvor erfassten Anmeldeinformationen, um Zugriff auf den Schl\u00fcsselbund (in macOS integrierter Passwort-Manager) zu erhalten.<\/li>\n
  4. Sie \u00fcberpr\u00fcft, ob auf dem Computer Sicherheitstools und Software zur Malware-Analyse installiert sind.<\/li>\n
  5. Sie sammelt gespeicherte Passw\u00f6rter aus Browsern, Cookies, den Schl\u00fcsselbund-Inhalt und Daten von anderen Passwort-Managern und Krypto-Wallets.<\/li>\n
  6. Sie verschl\u00fcsselt die gestohlenen Daten und bereitet sie zur Weiterleitung an den Server des Angreifers vor.<\/li>\n
  7. Sie erstellt eine Kopie von sich selbst und nistet sich im System ein, damit sie bei jedem Start von macOS automatisch gestartet wird.<\/li>\n
  8. Sie l\u00f6scht tempor\u00e4re Dateien und andere Installationsspuren, um die Erkennung zu erschweren.<\/li>\n<\/ol>\n

    Der zweite Schritt verdient besondere Aufmerksamkeit. Die Passwortabfrage, die dem Nutzer angezeigt wird, wirkt \u00e4u\u00dferst \u00fcberzeugend. Dar\u00fcber hinaus \u00fcberpr\u00fcft die Malware sofort, ob die Anmeldedaten stimmen: Wenn sich der Nutzer vertippt und ein ung\u00fcltiges Passwort eingibt, \u00f6ffnet CrashStealer das Fenster sofort wieder und fragt erneut.<\/p>\n

    \"Gef\u00e4lschte<\/a>

    Nach dem Start zeigt CrashStealer ein Pop-up-Fenster an, das die Standardabfrage des macOS-Passworts nachahmt. Quelle <\/a><\/p><\/div>\n

    Nach welchen Daten sucht CrashStealer?<\/p>\n

    CrashStealer ist sehr neugierig. Die Angreifer haben es in erster Linie auf den Schl\u00fcsselbund abgesehen: den integrierten macOS-Passwort-Manager, in dem das System Anmeldedaten, kryptografische Schl\u00fcssel, Zertifikate, Token und anderes speichert.<\/p>\n

    Auch die Passwort-Manager von Drittanbietern sind gef\u00e4hrdet: Die Malware stiehlt Daten von 14 solchen Diensten, darunter 1Password, Bitwarden, LastPass, Dashlane, Keeper, KeePassXC, NordPass, Enpass und RoboForm.<\/p>\n

    Zudem sammelt die Malware alle Anmeldeinformationen und Cookies, die in Chromium-basierten Browsern\u00a0(Chrome, Brave, Edge, Opera, Opera GX, Vivaldi, Chromium und NAVER Whale) sowie in Firefox gespeichert sind. Besonderes Interesse haben die Angreifer auch an Krypto-Assets: CrashStealer nimmt gezielt Daten von 80 verschiedenen Krypto-Wallet-Erweiterungen ins Visier (darunter MetaMask, Phantom, Coinbase Wallet, Trust Wallet, Rabby, Exodus, Keplr und Solflare).<\/p>\n

    Schlie\u00dflich durchsucht die Malware die Ordner \u201eDokumente\u201c und \u201eDownloads\u201c nach Dateien, die f\u00fcr Cyberkriminelle von Nutzen sein k\u00f6nnten. CrashStealer verschl\u00fcsselt alle gestohlenen Daten mit dem AES-256-GCM-Algorithmus, packt sie in ein Archiv und schickt es an den Server der Angreifer.<\/p>\n

    So sch\u00fctzt du dein Ger\u00e4t<\/h2>\n

    Der Anstieg der Angriffe auf macOS ist ein deutliches Warnsignal: Apple-Nutzer sollten sich aktiv um ihre Sicherheit k\u00fcmmern. Unsere Empfehlung:<\/p>\n