Eine neue macOS Malware zeigt, dass auch Apple-Rechner längst ein lohnendes Ziel sind: Sicherheitsforscher der Firma Huntress haben einen Schädling analysiert, der über die sogenannte ClickFix-Masche auf Macs gelangt und dort Kryptowährungen, im Browser gespeicherte Passwörter, Daten aus dem Apple-Schlüsselbund und zwischengespeicherte Zugangsdaten stiehlt. Besonders perfide: Der in der Sprache Go geschriebene Schädling erkennt Wallet-Adressen, fragt über die Blockchain deren Guthaben ab und leitet es an die Wallets der Angreifer um.
Wie die macOS Malware auf den Rechner kommt
Der Angriff beginnt harmlos mit einer E-Mail und einem Link. Die verlinkte Seite fordert das Opfer auf, einen Befehl im Terminal auszuführen – das ist der Kern der ClickFix-Masche. Wer das tut, lädt ein Bash-Skript herunter, das zunächst das System ausspäht (Prozessor, Arbeitsspeicher, angemeldeter Benutzer) und anschließend die passende Schadsoftware für die jeweilige Prozessor-Architektur nachlädt.
Danach tarnt sich der Schädling geschickt: Er legt einen Ordner an, der nach trustd benannt ist – jenem macOS-Prozess, der eigentlich Zertifikate und Code-Signaturen prüft – und kopiert die eigentliche Nutzlast als com.apple.verified dorthin. Zusätzlich entfernt er die Quarantäne-Markierung, damit Apples Schutzmechanismus Gatekeeper keine Warnung anzeigt. Um an Administratorrechte zu kommen, blendet die Malware laut Huntress einen gefälschten Fehlerdialog ein, der nach dem Systempasswort fragt.
Dein AD härten: 12 Sofortmaßnahmen
Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.
Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.
Was gestohlen wird
Im Visier stehen Passwort-Datenbanken der Browser, der Apple-Schlüsselbund und in Cookies zwischengespeicherte Zugangsdaten. Beim Krypto-Diebstahl haben die Forscher eine Besonderheit entdeckt: Der Schädling leert die Wallet nicht zwingend komplett, sondern kann so konfiguriert werden, dass er nur einen bestimmten Anteil – etwa ein Prozent des Guthabens – umleitet. Das fällt weniger schnell auf. Betroffen sind unter anderem Bitcoin, Litecoin, Dogecoin, Monero, Ethereum und XRP. Die Kommunikation läuft laut Huntress über Infrastruktur der russischen Aeza Group, die von den USA, Großbritannien und Australien wegen kugelsicheren Hostings für Ransomware-Gruppen sanktioniert wurde.
Was das für dich bedeutet
Die wichtigste Erkenntnis vorweg: Kein Virenschutz der Welt hilft, wenn du den Schädling selbst per Copy-and-paste im Terminal startest. Genau darauf setzt ClickFix. Die Masche ist deshalb so wirksam, weil sie sich als „Lösung“ tarnt – ein angebliches Update, ein „Fehler“, den du nur mit diesem einen Befehl behebst. Aus CISO-Sicht ist das ein Paradebeispiel dafür, dass der Mensch die entscheidende Sicherheitsschicht bleibt.
Mein Praxis-Tipp, ganz konkret: Führe niemals einen Terminal-Befehl aus, den dir eine Webseite, eine E-Mail oder ein Chat vorgibt – egal, wie überzeugend die Begründung klingt. Ein seriöser Anbieter wird dich nie bitten, etwas ins Terminal zu kopieren, um ein Video zu sehen, ein Konto zu „verifizieren“ oder einen „Fehler“ zu beheben. Genauso gilt: Wird plötzlich nach dem Admin-Passwort gefragt, ohne dass du gerade bewusst etwas installierst, brich ab. Und wer nennenswerte Beträge in Kryptowährungen hält, sollte die Schlüssel nicht auf dem Alltagsrechner speichern, sondern in einer Hardware-Wallet – dann läuft die Signatur einer Transaktion auf einem separaten Gerät und ein infizierter Mac kann die Überweisung nicht heimlich umleiten. Welche Geräte sich dafür eignen, habe ich im Ratgeber zu den besten Krypto-Hardware-Wallets zusammengestellt. Dass die Angreifer es gezielt auf Wallets abgesehen haben, zeigt auch der jüngste Coldcard-Fall – Kryptowährungen bleiben 2026 ein Hauptziel.
Quellen
- BleepingComputer: ClickFix attack pushes macOS infostealer for crypto theft (06.08.2026)
- Huntress: Analyse der macOS-Krypto-Malware
Mehr Klartext, direkt ins Postfach
Neue Analysen zu Security, KI und Crypto per Mail – zum Einstieg die AD-Checkliste mit 12 Sofortmaßnahmen als PDF.
Zur Anmeldung