Phishing-Gang startet Angriff auf Mac-User

In verschiedenen Mac-Webforen wurden vorgestern massenhaft Spam-Nachrichten verbreitet, die für Porno-Seiten warben. Besucht ein Mac-User eine der Seiten, sieht er nach dem Klick auf ein Porno-Bildchen ein angebliches QuickTime-Fenster, welches behauptet: «Quicktime Player is unable to play movie file. Please click here to download new version of codec», in Deutsch: «Der Quicktime Player kann die Filmdatei nicht abspielen. Bitte klicken Sie hier, um eine neue Version des Codecs herunterzuladen». Die Codec-Fehlermeldung ist natürlich gefälscht. Wer die Datei herunterlädt, bekommt statt des Codecs eine Trojanerdatei serviert.
Nichts Neues für Windows-User, denn die sind schon seit Jahren mit solchen Schädlingen konfrontiert. Auch gab es vereinzelte Mac-Schädlinge, die jedoch in freier Wildbahn höchst selten anzutreffen waren. Neu ist hingegen, dass jetzt auch Benutzer von Apples Mac OS X zum Ziel breit angelegter Attacken werden.

Social Engineering ist die Karte, auf die der Angreifer setzt. Der typische Mac-Anwender ist es sich nicht gewöhnt, solchen Gefahren ausgesetzt zu sein. Und da er glaubt, einen Codec zu installieren, stört es ihn auch nicht, dass er dafür das Administrator-Kennwort eintippen muss.
Der Trojaner selbst beeinträchtigt nach der Installation den Netzwerkverkehr des nun infizierten Mac-OS-X-Rechners. Laut den Mac-Spezialisten von Intego handle es sich dabei um einen so genannten DNS-Changer (zu Deutsch etwa «Domänen-Namen-Dienst-Wechsler»).
Solche Schädlinge tragen in der Verbindung einen falschen Domain Name Server ein, der fortan dafür sorgt, dass der Browser trotz korrekter Eingabe einer PayPal- oder Banking-Adresse stets auf einer Phishing-Seite landet. Die auf der gefälschten Seite eingetippten Kontonummern oder Passwörter werden von den Kriminellen verwendet, um Bankkonten zu plündern.

Intego prüfe derzeit, welche Versionen von Mac OS X anfällig sind. Dazu gehören mindestens Mac OS X 10.4 und 10.5. In Version 10.4 gebe es keine Möglichkeit, den manipulierten DNS-Server-Eintrag in der Benutzeroberfläche zu erkennen. In Mac OS X 10.5 könne man den gefälschten Eintrag zumindest in den erweiterten Netzwerkeinstellungen sehen, wenn auch nicht ändern.

Bojan Zdrnja vom Internet Storm Center äussert sich in seinem Blog-Eintrag zu diesem Thema besorgt: Die Kriminellen scheinen den Mac nun als lohnendes Ziel für professionelle Schädlingsattacken ernst zu nehmen. Ausserdem habe anfangs kein einziger Virenscanner die Datei als Schädling erkannt, als man die Datei an Virustotal zur Prüfung mit mehreren Virenscannern übermittelte.

Nun gilt also auch für Mac-Anwender: Laden Sie Software oder Codecs nur aus seriösen Quellen herunter. Besuchen Sie keine Links, die per Foren- oder Mail-Spam beworben werden. Laut McAfees AvertLab gebe es Dutzende gefälschter Codec-Seiten, auf denen dieses Trojanische Pferd auf neue Opfer warte.
Update, 11.01.2008: Inzwischen hat der Sicherheitsanbieter SecureMac ein Beseitigungswerkzeug für diesen DNS-Changer bereitgestellt. Davon betroffene Mac-Anwender können es kostenlos von www.dnschanger.com herunterladen.