Sicherheitsforscher vom MDM-Spezialisten Jamf haben eine neue Variante der sogenannten ClickFix-Angriffstechnik entdeckt, bei der Nutzer dazu bewegt werden, Kommandos auf ihrem Mac auszuführen, die dann Malware installieren. Die neue Verteilmethode des bekannten Datenklauschädlings Atomic Stealer scheint darauf optimiert zu sein, einen neuen Schutz im macOS-Terminal zu umgehen, den Apple mit macOS 26.4 eingeführt hatte. Dieser soll dafür sorgen, dass problematischer Code nicht mehr so leicht ausgeführt werden kann.

Wie Jamf Threat Labs in einer Analyse schreibt, locken die Angreifer ihre Opfer auf eine gefälschte Apple-Webseite, die vorgibt, dabei zu helfen, Speicherplatz auf dem Mac freizugeben. Ein „Execute“-Button auf der Seite ruft dabei das applescript://-URL-Schema auf. Der Browser fordert daraufhin vom Nutzer die Erlaubnis, Script Editor zu öffnen – eine Aktion, die das Opfer womöglich arglos bestätigt.

Vom URL-Schema zum Datenklauer

Das eigentlich neue an der Methode liegt in der Nutzung des applescript://-URL-Schemas: Beim Aufruf startet Script Editor mit einem von der Website übergebenen, bösartigen AppleScript. Dieses Script führt nach der Ausführung durch den Nutzer eine verschleierte Befehlskette aus. Zunächst wird per curl-Kommando eine Payload von einem externen Server geladen, die nach Dekodierung anschließend an zsh übergeben wird. Eine zweite Stufe dekodiert per Base64 und gunzip weiteren Code, der schließlich die eigentliche Malware – ein Mach-O-Binary des Atomic Stealers – nach /tmp herunterlädt, erweiterte Attribute zum Ausführungsschutz entfernt und die Datei startbar macht.

Interessant dabei ist, dass die Installationskette dabei den Terminal-Paste-Schutz von macOS 26.4 umgeht. Apple hatte diese Schutzfunktion eingeführt, um Nutzer vor ClickFix-Angriffen zu warnen, wenn sie manipulierte Befehle ins Terminal einfügen, wobei das auch nicht immer funktioniert. Durch den Wechsel zu Script Editor wird dieser Mechanismus laut Jamf augenscheinlich ausgehebelt. Um die Malware aktiv zu schalten, muss der User allerdings noch den Abspielknopf (Play) in Script Editor klicken. Dass er das tun soll, wird auf der nachgeahmten Apple-Seite so mitgeteilt.

Was Atomic Stealer abgreift

Atomic Stealer ist ein schon seit 2023 aktiver Infostealer, der unter anderem über Telegram an Kriminelle vermarktet wird. Die Malware stiehlt unter anderem Keychain-Passwörter, Browser-Daten wie Autofill-Einträge, Cookies und Kreditkartennummern sowie Krypto-Wallets. Auch Dateien vom Desktop und aus dem Dokumentenordner können exfiltriert werden.

Neu ist die Verwendung von Script Editor zur Malware-Verbreitung eigentlich nicht, doch die Verbreitung via applescript://-Links ist neu. Nutzer sollten das Aufrufen des Script Editors über eine Website keinesfalls bestätigen. Apple hat bislang noch nicht auf die neue Methode reagiert. Es dürfte relativ leicht sein, diese zu verhindern.

(bsc)

Aufgrund eines Fehlers werden bestimmte SSL-Konfigurationen im API-Gateway VMware Tanzu Spring Cloud Gateway nicht angewendet – Nutzer bekommen davon nichts mit. Ein Patch löst nun die Problematik.

Instanzen vor möglichen Angriffen schützen

In einer Warnmeldung erläutern die Entwickler, dass es bei der Konfiguration von SSL-Bundles mittels spring.ssl.bundle zu Fehlern kommen kann. Das führt dazu, dass Einstellungen ignoriert werden und stattdessen die Standard-SSL-Konfiguration genutzt wird.

Nehmen Admins an dieser Stelle individuelle, sicherheitsrelevante Änderungen vor, die dann nicht übernommen werden, entsteht hier ein Sicherheitsrisiko.

Die Entwickler geben an, die Schwachstelle (CVE-2026-22750 „hoch“) in Spring Cloud Gateway 4.2.1 (Enterprise Support Only) geschlossen zu haben. Bislang gibt es noch keine Hinweise auf Attacken.

(des)

Derzeit haben es Angreifer auf das Phyton-Notebook Marimo abgesehen und nutzen eine Sicherheitslücke zum Ausführen von Schadcode aus.

Marimo ist eine integrierte Arbeitsumgebung für Python, in der Code, Ergebnisse, Visualisierungen und Dokumentation kombiniert werden.

Sicherheitslücke schließen

Wie aus einer Warnmeldung hervorgeht, ist die Authentifizierung im Kontext des WebSocket-Endpoints /terminal/ws kaputt und Angreifer können ohne Anmeldung an der „kritischen“ Schwachstelle (CVE-2026-39987) ansetzen.

Im Anschluss greifen sie mit weitreichenden Rechten auf eine Shell zu und können eigene Befehle ausführen. Aufgrund der Einstufung des Schweregrads ist davon auszugehen, dass Systeme im Anschluss als vollständig kompromittiert gelten. In welchem Umfang die Attacken ablaufen und auf welche Ziele es die bislang unbekannten Angreifer abgesehen haben, ist zurzeit unklar.

Auf die Attacken sind Sicherheitsforscher von Sysdig gestoßen. In einem Bericht führen sie aus, dass sie zwölf Stunden nach Bekanntwerden der Lücke Angriffsaktivitäten von 125 IP-Adressen ausgehend beobachtet haben. Sie geben an, dass Angreifer sich nach erfolgreichen Zugriffen Zugangsdaten wie SSH-Schlüssel verschaffen und sich damit ausgerüstet weiter in Netzwerken ausbreiten. Demzufolge sollten Marimo-Nutzer aus Sicherheitsgründen ihre Zugangsdaten für Datenbanken und API-Schlüssel ändern, um den Angreifern den Zugriff zu entziehen.

Die Entwickler versichern, die Lücke in Marimo 0.23.0 geschlossen zu haben. Aktuell ist derzeit die Ausgabe 0.23.1. Wer das Sicherheitsupdate nicht umgehend installieren kann, muss den Zugriff auf /terminal/ws reglementieren oder die Funktion temporär deaktivieren.

(des)