MacOS Python Infostealers

Cybersicherheitsexperten warnen vor einer rasanten Ausweitung von Informationsdiebstahlangriffen, die sich von Microsoft Windows auf das Apple macOS-Ökosystem ausweiten. Angreifer setzen vermehrt auf plattformübergreifende Programmiersprachen wie Python und missbrauchen vertrauenswürdige Dienste und Werbeplattformen, um Schadsoftware in großem Umfang zu verbreiten und so die Angriffsfläche erheblich zu vergrößern.

Social Engineering treibt macOS-Infostealer-Kampagnen an

Seit Ende 2025 zielen mehrere Kampagnen, insbesondere ClickFix, mit Social-Engineering-Techniken auf macOS-Nutzer ab. Dabei werden schädliche Disk-Image-Installationsdateien (DMG) verbreitet, die bekannte macOS-Infostealer-Familien wie Atomic macOS Stealer (AMOS), MacSync und DigitStealer einschleusen. Die Verbreitung erfolgt häufig durch die Überzeugung der Nutzer, den Infektionsprozess manuell zu starten.

Missbrauch nativer macOS-Funktionen und heimlicher Datendiebstahl

Nach ihrer Ausführung nutzen diese Bedrohungen häufig dateilose Techniken, native macOS-Dienstprogramme und AppleScript-Automatisierung, um unentdeckt zu bleiben und die Datenerfassung zu optimieren. Zu den gestohlenen Informationen gehören üblicherweise im Browser gespeicherte Anmeldeinformationen und Sitzungsdaten, sensible Einträge aus dem iCloud-Schlüsselbund sowie Entwicklergeheimnisse, die weitere Kompromittierungen ermöglichen können.

Malvertising als erster Zugriffsvektor

Viele dieser Angriffsketten beginnen mit schädlicher Werbung, die häufig über Google Ads ausgespielt wird. Nutzer, die nach legitimer Software wie DynamicLake-Dienstprogrammen oder KI-Tools suchen, werden auf gefälschte Webseiten umgeleitet. Diese Seiten verwenden ClickFix-Köder, die die Opfer dazu verleiten, Befehle per Copy-Paste oder Installationsanweisungen zu befolgen, was zur unbeabsichtigten Installation von Schadsoftware führt.

Python-Diebe ermöglichen schnelle Anpassung

Python-basierte Infostealer sind aufgrund ihrer Flexibilität und einfachen Wiederverwendbarkeit auf verschiedenen Betriebssystemen besonders attraktiv für Angreifer. Diese Bedrohungen werden häufig über Phishing-E-Mails verbreitet und sind darauf ausgelegt, eine Vielzahl sensibler Daten zu erbeuten, darunter:

Anmeldedaten, Sitzungscookies, Authentifizierungstoken, Kreditkartendaten und Daten von Kryptowährungs-Wallets

PXA-Diebstahl und Missbrauch von Messaging-Apps

Ein bemerkenswertes Beispiel ist PXA Stealer, das vietnamesischsprachigen Angreifern zugeschrieben wird. Dokumentierte Kampagnen aus dem Oktober und Dezember 2025 nutzten Phishing-E-Mails für den Erstzugriff und Registry-Einträge oder geplante Aufgaben, um sich dauerhaft einzunisten. Telegram wurde für die Befehls- und Kontrollkommunikation sowie zum Datenabfluss verwendet. Darüber hinaus missbrauchten Angreifer auch beliebte Messaging-Plattformen wie WhatsApp, um Schadsoftware wie Eternidade Stealer zu verbreiten, die es auf Finanz- und Kryptowährungskonten abgesehen hatte – eine Kampagne, die im November 2025 öffentlich bekannt wurde.

SEO-Manipulation und gefälschte Software unter Windows

Infostealer-Aktivitäten beschränken sich nicht auf macOS. Parallel dazu werden gefälschte PDF-Editoren wie Crystal PDF eingesetzt, die über Malware-Werbung und SEO-Manipulation verbreitet werden. Diese Windows-spezifischen Angriffe nutzen Credential-Stealer, die unbemerkt Cookies, Sitzungsinformationen und zwischengespeicherte Anmeldeinformationen aus Mozilla Firefox und Google Chrome extrahieren können.

Abwehrmaßnahmen gegen Infostealer-Operationen

Um die Anfälligkeit für Bedrohungen durch Infostealer zu verringern, werden Organisationen dazu angehalten, mehrschichtige Verteidigungsmaßnahmen und Initiativen zur Sensibilisierung der Nutzer umzusetzen, darunter:

• Schulung der Benutzer zum Erkennen von Malware-Weiterleitungsketten, betrügerischen Installationsprogrammen und ClickFix-ähnlichen Aufforderungen
• Überwachung auf ungewöhnliche Terminalaktivitäten, unbefugten Zugriff auf den iCloud-Schlüsselbund und verdächtige ausgehende POST-Anfragen an neu registrierte oder anomale Domains

Geschäftliche Auswirkungen von Infostealer-Kompromittierungen

Erfolgreiche Infostealer-Infektionen können weitreichende Folgen haben. Gestohlene Zugangsdaten und Sitzungsdaten können Datenlecks, unbefugten Zugriff auf interne Systeme, Kompromittierung von Geschäfts-E-Mails, Angriffe auf Lieferketten und Folgeangriffe wie Ransomware-Attacken ermöglichen. Proaktive Erkennung und Aufklärung sind daher weiterhin entscheidend, um diese Risiken zu minimieren.