Der Elmedia Player ist eine Software die unter Mac-Usern weit verbreitet ist. Unlängst wurden jedoch sowie der Elmedia Player als ebenfalls die App Folx auf ihren Websites gehackt und mit der "Proton"-Malware infiziert. Die Hersteller raten Nutzern dringend dazu ihre betroffenen Geräte neu zu installieren um die Schadsoftware zu entfernen.
Betroffen sind die Apps Elmedia Player (Multimedia-Abspieler) und auch Folx (Download-Manager), ebenso wie ZDNet berichtet. Laut bisherigen Erkenntnissen wurden die Server von Eltima gehackt ? über eine Sicherheitslücke in der tiny_mce-JavaScript-Bibliothek.
Downloads am 19. Oktober
Nach Untersuchungen des Sicherheitsanbieters Eset besteht eine "große Wahrscheinlichkeit für User", sich Proton eingefangen zu haben, wenn sie sich den Elmedia Player am 19. Oktober vor 15:15 Uhr amerikanischer Ostküstenzeit (21:15 Uhr MEZ) heruntergeladen haben. Eltima zufolge wurde der Command & Control-Server für Proton am 15. Oktober registriert; die Malware aber nicht vor dem 19. Oktober vertrieben. Automatische Updates sollen nicht kompromittiert gewesen sein. Erkennbar ist eine Infektion an verschiedenen Dateien die sich in mehreren Pfaden auf dem Mac befinden. Laut ESET lauten diese:
- /tmp/Updater.app/
- /Library/LaunchAgents/com.Eltima.UpdaterAgent.plist
- /Library/.rand/
- /Library/.rand/updateragent.app/
"Existiert etwas davon im Dateisystem ist die kompromittierte Elmedia-Player-Software-Anwendung auf dem Computer ausgeführt worden & OSX/Proton läuft bereits", so das Sicherheitsunternehmen. Proton verhält sich äußerst problematisch.
Was sich Proton klaut
So schnappt sich die Malware Details zum Betriebssystem, Browser-Informationen samt Cookies, Lesezeichen und Verlauf, eventuell vorhandene Börsen von Kryptowährungen, SSH-Daten die macOS-Keychain (mittels Chainbreaker-Tool), VPN-Konfigurationen von Tunnelblick, GnuPG-Daten, 1Password-Tresore sowie eine Liste installierter Anwendungen. Proton bleibe "hartnäckig auf dem System", so ESET. Der einzig sichere Weg sei die vollständige Neuinstallation des Betriebssystems ? ohne direkte Übernahme der alten Daten.
Schädling hatte gültiges Zertifikat
Problematischerweise ist es den Proton-Machern gelungen, ihre Malware auch noch mit einem gültigen Zertifikat auszustatten ? identisch schlägt die macOS-Systemsicherung Gatekeeper nicht an. Die Proton-Entwickler schrieben dazu extra einen Wrapper. Mittlerweile soll die entsprechende Apple-Developer-ID aber zurückgezogen worden sein und auf der Eltima-Website gibt es wieder eine saubere Version des Elmedia Player. Betroffen war nur der direkte Download von Eltima selbst, nicht etwa die Mac-App-Store-Version.
Der Angriff erinnert stark an eine ähnliche Attacke auf den populären Video-Encoder Handbrake. Dieser wurde nach einem Hack ähnlich wie mit Malware verteilt ? dabei handelte es sich ebenfalls um Proton.
Kommentare