In dieser Woche untersucht das Cyber Threat Intelligence (CTI)-Team von Tanium eine Malware-Kampagne, bei der geknackte Software zur Verbreitung des „Atomic macOS Stealer“ (AMOS) genutzt wird. Als Nächstes befasst sich das Team mit TAG-150, einem sich rasch weiterentwickelnden Angreifer, der im Rahmen ausgeklügelter Phishing- und Fernzugriffsoperationen maßgeschneiderte Malware einsetzt. Abschließend geben wir Ihnen einen Überblick über die „GPUGate“-Malware-Kampagne, die sich gegen IT-Unternehmen in Westeuropa richtet.
Die AMOS-Stealer-Kampagne zielt auf macOS ab
Trend Micro hat kürzlich die Malware-Kampagne „ “ analysiert, bei der geknackte Software genutzt wird, um AMOS zu verbreiten und sensible Benutzerdaten – darunter Anmeldedaten, Krypto-Wallets und Systemdateien – zu entwenden.
Laut Trend Micro nutzen die Angreifer irreführende macOS-Terminalbefehle und wechselnde Domänen, um Sicherheitsmaßnahmen zu umgehen und sich dauerhaft auf infizierten Systemen zu etablieren.
Überblick über die AMOS-Kampagne
Im Rahmen dieser Kampagne zielen Angreifer mit gefälschten oder „geknackten“ Anwendungen auf macOS-Nutzer ab. Die Opfer werden dazu verleitet, ein Installationsprogramm für die gewünschte Anwendung herunterzuladen, das die AMOS-Malware einschleust.
In einigen Fällen werden die Nutzer aufgefordert, Befehle direkt in ihr Terminal zu kopieren und dort einzufügen, um die Malware auszulösen. Trend Micro weist darauf hin, dass diese Angreifer wechselnde URLs und Domains verwenden, sodass sich die Domain und der Download-Befehl bei jedem Besuch ändern, um einer Entdeckung zu entgehen.
AMOS-Infektionskette und -Bereitstellung
- Der Angreifer verschafft sich über gefälschte App-Downloads Zugang zum System, die das Opfer letztendlich auf die Landingpage von AMOS weiterleiten.
- Dem Opfer wird entweder die Option „Download für macOS“ oder eine Anleitung zum Ausführen eines Befehls angezeigt. In beiden Fällen wird ein bösartiges Installationsskript ausgeführt.
- Dieses Skript lädt eine AppleScript-Datei herunter und richtet einen LaunchDaemon so ein, dass das Skript kontinuierlich ausgeführt wird, bis sich der Benutzer anmeldet.
- Wenn sich der Benutzer anmeldet, wird die versteckte Binärdatei ausgeführt, um eine dauerhafte Präsenz herzustellen. Dieses Skript sammelt Daten wie Benutzername und Passwort, Browserdaten, Schlüsselbunddaten und vieles mehr, komprimiert diese in eine ZIP-Datei und leitet sie ab.
Erkenntnisse aus der MDR
Das Managed Detection and Response (MDR)-Team von Trend Micro beobachtete den Ablauf der Ereignisse, der mit verdächtigen Prozessaktivitäten begann und sich über Angriffe zum Diebstahl von Anmeldedaten bis hin zur Datenexfiltration erstreckte. Dies ermöglichte eine gründlichere Untersuchung.
Die erste von ihnen beobachtete Warnmeldung betraf das Extrahieren von Anmeldedaten aus Webbrowsern, wobei die SQLite-Datei mit den Anmeldedaten von Chrome kopiert wurde, in der die Zugangsdaten gespeichert sind. Die zweite Warnmeldung bezog sich auf ein Skript, das Daten – darunter Anmeldedaten und Dateien – aus gängigen Browsern stahl. Dabei wurden auch Informationen aus dem Systemprofiler erfasst.
Erstzugang
Trend Micro stellte fest, dass AMOS als Download geknackter Software auf das Gerät gelangt war, da viele der betroffenen Nutzer mehrfach dieselbe Website besucht hatten, auf der verschiedene gefälschte Softwareanwendungen speziell für macOS bereitgestellt wurden.
Die betroffenen Nutzer hatten auf ihren Computern nach „CleanMyMac“ gesucht und das Programm heruntergeladen. Durch Anklicken der Download-Schaltfläche gelangten die Nutzer auf die AMOS-Startseite. Nach dem Klicken wurden die Nutzer weitergeleitet, wobei sich das Ziel der Weiterleitung bei jedem Besuch ebenso änderte wie die im Befehl eingebettete URL.
Wie Opfer AMOS installieren
Den Opfern stehen zwei Möglichkeiten zur Installation von AMOS zur Verfügung. Bei der ersten Methode klicken Sie auf die Schaltfläche „Herunterladen“, woraufhin eine .dmg-Datei zusammen mit einer Installationsanleitung geladen wird. Bei der anderen Methode wird das Opfer aufgefordert, einen schädlichen Befehl zu kopieren, einzufügen und auszuführen.
- Bei der ersten Methode wird die Datei „ Installer_v.2,13.dmg“ heruntergeladen, und die Versionsnummer ändert sich. Die Datei enthält Anweisungen an das Opfer, mit der rechten Maustaste darauf zu klicken und sie zu öffnen. Trend Micro weist darauf hin, dass Gatekeeper in diesem Fall aufgrund der verwendeten macOS-Version eingegriffen und die Malware blockiert hat, bevor diese ihren Angriff abschließen konnte.
- Die zweite Methode, „ “, die eine höhere Erfolgsquote aufweist, fordert die Opfer dazu auf, einen Befehl direkt auszuführen. Wenn dieser Befehl ausgeführt wird, wird AMOS auf dem Host installiert. Dem Opfer wird daraufhin ein Fenster mit dem Titel „Systemeinstellungen“ angezeigt, in dem es aufgefordert wird, sein Passwort so lange wiederholt einzugeben, bis das richtige Passwort eingegeben wurde. Ein zusätzliches Skript prüft dann, ob es in einer virtualisierten Umgebung ausgeführt wird, und beendet sich in diesem Fall. Nach diesen Überprüfungen wird die Malware Daten abziehen, eine dauerhafte Präsenz im System etablieren, Terminalfenster ausblenden sowie Systemdateien und Anwendungen manipulieren.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Nutzung von geknackter Software als Übertragungsweg macht deutlich, dass Angreifer häufig die Bequemlichkeit ausnutzen; daher ist es für Unternehmen unerlässlich, den Zugriff auf nicht autorisierte Software-Repositorys zu überwachen und einzuschränken.
Die weitreichenden Funktionen der AMOS-Malware zum Datendiebstahl spiegeln einen wachsenden Trend bei Malware wider, die auf macOS abzielt. Darüber hinaus zeugt die Verwendung wechselnder Domains und verschleierter Skripte durch die Angreifer von einer hohen operativen Flexibilität, wodurch herkömmliche, signaturbasierte Erkennung unzureichend wird und der Wert der verhaltensbasierten Bedrohungserkennung deutlich wird.
TAG-150 setzt die neue Malware „CastleRAT“ ein
Ein aktueller Bericht von Recorded Future befasst sich ausführlich mit TAG-150, einem sich rasch weiterentwickelnden Akteur im Bereich der Cyberbedrohungen. Dieser Akteur hat eine mehrstufige Infrastruktur sowie eine Reihe maßgeschneiderter Malware entwickelt, darunter die kürzlich entdeckte CastleRAT, um ausgeklügelte Phishing- und Fernzugriffsoperationen durchzuführen.
Wie Record Future erläutert, nutzen ihre Kampagnen irreführende Taktiken und ein breites Spektrum an Werkzeugen, um Opfer ins Visier zu nehmen, und passen sich dabei aktiv an öffentliche Enthüllungen und Abwehrmaßnahmen an.
Wer ist TAG-150?
Recorded Future verwendet die Bezeichnung TAG-150 für den Akteur, der mit der „Entwicklung und dem Einsatz der Malware-Familien CastleLoader, CastleBot und, in jüngerer Zeit, CastleRAT“ in Verbindung steht.
Recorded Future beobachtet TAG-150 bereits seit dem März 2025. Ihren Untersuchungen zufolge gehen viele der Infektionen auf Angriffe im Stil von „ “ und „ClickFix“ zurück oder auf gefälschte GitHub-Repos, die sich als legitime Anwendungen ausgeben. Es wird davon ausgegangen, dass die Gruppe ein „Malware-as-a-Service“-Modell (MaaS) nutzt, um eine Reihe von Payloads der zweiten Stufe zu verbreiten.
TAG-150-Infrastrukturanalyse
Recorded Future hat Einzelheiten zur mehrstufigen Infrastruktur des Akteurs bekannt gegeben:
- Ebene 1: Die Infrastruktur der Ebene 1 umfasst mehrere C2 Server für verschiedene Malware-Familien wie CastleLoader, CastleRAT und andere. Diese Server werden über Tier- 2 -Server verwaltet.
- Ebene 2: Die Ebene 2 besteht aus VPS-Servern, von denen angenommen wird, dass sie „als Vermittler zwischen den opferorientierten Servern der Ebene 1 und der Infrastruktur der Ebene 3 fungieren“. Es ist bekannt, dass der Akteur über RDP auf diese Server zugreift, bevor er eine Verbindung zu den Tier-1-Servern herstellt. In vielen Fällen stellte Recorded Future fest, dass der Angreifer die Tier- 2 -Ebene umging und sich von der Tier-3 -Infrastruktur aus mit Servern der Tier-1-Ebene verband.
- Stufe 3: In Stufe 3 identifizierten die Forscher VPS-Server, die alle dasselbe TLS-Zertifikat verwendeten, wobei einer davon vermutlich als Knotenpunkt fungierte. Außerdem identifizierten sie eine private russische IP-Adresse, die mit Servern sowohl in Tier 1 als auch in Tier 2 kommunizierte, was ihrer Ansicht nach auf die Handlungen eines zweiten Betreibers hindeuten könnte.
- Ebene 4: Der Hauptserver der Ebene 3 kommuniziert mit einem potenziellen Backup-Server der Ebene 4. Die Kommunikation erfolgte über eine „über mehrere Wochen andauernde UDP-Sitzung zwischen hohen Ports“.
Die Python- und C-Varianten von CastleRAT
Die Malware „CastleRAT“ gibt es sowohl als Python-Variante als auch als C-Variante. Beide Varianten verwenden ein benutzerdefiniertes Binärprotokoll, fragen eine Geolokalisierungs-API ab, laden ausführbare Dateien herunter und bieten Remote-Shell-Funktionen.
Laut Recorded Future verfügt die C-Variante der Malware über einen Keylogger, einen Clipper, Funktionen zur Bildschirmaufnahme, zur Dateimanipulation, zur Ausführung von Shell-Befehlen und vieles mehr.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
TAG-150’s Die operative Flexibilität zeigt sich in der raschen Weiterentwicklung der Malware und der Anpassung der Infrastruktur, was darauf hindeutet, dass die Gruppe sowohl über ausreichende Ressourcen als auch über technische Kompetenz verfügt.
Der Einsatz einer mehrschichtigen Infrastruktur und maßgeschneiderter Malware wie CastleRAT spiegelt einen Wandel von Standardwerkzeugen hin zu maßgeschneiderten Lösungen wider, was darauf hindeuten könnte, dass diese Gruppe an Reife gewinnt.
GPUGate richtet sich an IT-Unternehmen in Westeuropa
Laut Arctic Wolf nutzt die Malware-Kampagne „GPUGate“ Google Ads und GitHub-Commit-Links, um IT-Fachleute dazu zu verleiten, ein mit einem Trojaner versehenes GitHub-Desktop-Installationsprogramm herunterzuladen, das sich ausschließlich auf Systemen mit echten GPUs aktiviert und so die herkömmliche Sandbox-Erkennung umgeht.
Die Analyse von Arctic Wolf deckt zudem ausgefeilte Tarntechniken auf. Die Angreifer verfügen über muttersprachliche Russischkenntnisse und nehmen Westeuropa mit einer äußerst selektiven und heimlichen Vorgehensweise ins Visier.
Anfänglicher Infektionsweg von GPUGate
Der Angriff beginnt mit „Malvertising“ – dabei wird eine gesponserte Google-Anzeige ganz oben in den Google-Suchergebnissen geschaltet, die wie eine seriöse Website für GitHub Desktop aussieht.
Der Schauspieler erstellte einen Commit in einem legitimen GitHub-Repository und änderte anschließend die README-Datei so, dass sie bösartige Download-Links enthielt. Arctic Wolf weist darauf hin, dass ein Angreifer den schädlichen Hash in die URL der Seite einbetten könnte, sodass eine Seite angezeigt wird, die genau wie das ursprüngliche Repository aussieht, deren README-Datei jedoch die schädlichen Links enthält.
Die Seite zeigt legitime Daten an, da der Commit echt ist, was es den Opfern erschwert, ihn als bösartig zu erkennen. „Der einzige Hinweis darauf, dass es sich bei der Seite um die Ansicht eines einzelnen Commits handelt, ist ein kleines Banner am oberen Rand, das darauf hinweist, dass der Besucher einen bestimmten Commit betrachtet und nicht den Standardzweig des Repositorys.“ Der Angreifer geht noch einen Schritt weiter, indem er dem Link einen Anker hinzufügt, sodass das Opfer zum unteren Bereich der Commit-Seite geleitet wird, wo sich der schädliche Inhalt befindet.
Die bösartigen Download-Links leiten das Opfer von GitHub auf eine bösartige gitpage[.]app weiter.
Zweite Stufe: GitHubDesktopSetup-x64.exe
Die Malware wird als „ GitHubDesktopSetup-x64.exe“ heruntergeladen. Die Datei ist groß, um dem tatsächlichen GitHub-Desktop-Installationsprogramm zu entsprechen.
Der Entwickler der Malware hat zudem den Header der Malware bearbeitet, um das Extrahieren von Dateien zu verhindern. Die MSI-Datei enthält 171 ausführbare Dateien, von denen die meisten harmlos sind, um die Analyse zu erschweren. Arctic Wolf weist jedoch darauf hin, dass mindestens eine davon bösartig ist.
Die Malware führt Überprüfungen durch, um Geräte auszuschließen, die die von ihr festgelegten Hardwareanforderungen nicht erfüllen. Eine dieser Überprüfungen betrifft die Länge des Gerätenamens, da virtuelle Maschinen häufig kürzere oder allgemeine Namen tragen, während legitime GPUs in der Regel längere Namen aufweisen.
Funktionen von GPUGate
Arctic Wolf hebt einige der bemerkenswertesten Merkmale von GPUGate hervor:
- Für eine verdeckte Ausführung wird die PowerShell mit bestimmten Parametern gestartet, um Fenster vor dem Benutzer zu verbergen und Ausführungsrichtlinien zu umgehen.
- Um die Persistenz sicherzustellen, wird eine geplante Aufgabe erstellt, die beim Neustart ausgeführt wird.
- Um eine Erkennung zu umgehen, werden die Speicherorte der „Defender“-Malware vom Scan ausgeschlossen, sodass deren schädliche Komponenten nicht erkannt werden.
- Im Fall von C2, , werden mehrere redundante Domains und IP-Adressen verwendet, sodass der Betrieb auch dann weiterlaufen kann, wenn eine davon außer Betrieb gesetzt wird.
Die Malware sammelt sensible Daten aus lokalen Dateisystemen und leitet diese weiter. Arctic Wolf weist darauf hin, dass GPUGate möglicherweise in der Lage ist, Ransomware zu installieren und Sicherungsdateien sowie Systemwiederherstellungsoptionen zu löschen.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Da GPUGate für die Entschlüsselung eine echte GPU erfordert, markiert es einen Wandel hin zu umgebungsbewusster Malware, wodurch herkömmliche Sandboxing-Verfahren und automatisierte Analysen deutlich an Wirksamkeit verlieren.
Diese Kampagne zielt nicht nur auf Systeme mit GPUs ab, sondern auch auf Benutzer, die wahrscheinlich über erweiterte Berechtigungen verfügen. Dies setzt eine gewisse Form der Profilerstellung vor dem Angriff voraus, die Teil einer umfassenderen Angriffsstrategie sein könnte.
Im Rahmen ihrer Untersuchungen stellte Arctic Wolf fest, dass eine der von den Angreifern kontrollierten Websites auch den macOS-AMOS-Stealer „ “ unter bereitstellte. Der mögliche Zusammenhang mit AMOS erhöht die Bedrohungslage.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter, um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
