Eine neue macOS Malware zeigt, dass auch Apple-Rechner längst ein lohnendes Ziel sind: Sicherheitsforscher der Firma Huntress haben einen Schädling analysiert, der über die sogenannte ClickFix-Masche auf Macs gelangt und dort Kryptowährungen, im Browser gespeicherte Passwörter, Daten aus dem Apple-Schlüsselbund und zwischengespeicherte Zugangsdaten stiehlt. Besonders perfide: Der in der Sprache Go geschriebene Schädling erkennt Wallet-Adressen, fragt über die Blockchain deren Guthaben ab und leitet es an die Wallets der Angreifer um.
Wie die macOS Malware auf den Rechner kommt
Der Angriff beginnt harmlos mit einer E-Mail und einem Link. Die verlinkte Seite fordert das Opfer auf, einen Befehl im Terminal auszuführen – das ist der Kern der ClickFix-Masche. Wer das tut, lädt ein Bash-Skript herunter, das zunächst das System ausspäht (Prozessor, Arbeitsspeicher, angemeldeter Benutzer) und anschließend die passende Schadsoftware für die jeweilige Prozessor-Architektur nachlädt.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Danach tarnt sich der Schädling geschickt: Er legt einen Ordner an, der nach trustd benannt ist – jenem macOS-Prozess, der eigentlich Zertifikate und Code-Signaturen prüft – und kopiert die eigentliche Nutzlast als com.apple.verified dorthin. Zusätzlich entfernt er die Quarantäne-Markierung, damit Apples Schutzmechanismus Gatekeeper keine Warnung anzeigt. Um an Administratorrechte zu kommen, blendet die Malware laut Huntress einen gefälschten Fehlerdialog ein, der nach dem Systempasswort fragt.
Was gestohlen wird
Im Visier stehen Passwort-Datenbanken der Browser, der Apple-Schlüsselbund und in Cookies zwischengespeicherte Zugangsdaten. Beim Krypto-Diebstahl haben die Forscher eine Besonderheit entdeckt: Der Schädling leert die Wallet nicht zwingend komplett, sondern kann so konfiguriert werden, dass er nur einen bestimmten Anteil – etwa ein Prozent des Guthabens – umleitet. Das fällt weniger schnell auf. Betroffen sind unter anderem Bitcoin, Litecoin, Dogecoin, Monero, Ethereum und XRP. Die Kommunikation läuft laut Huntress über Infrastruktur der russischen Aeza Group, die von den USA, Großbritannien und Australien wegen kugelsicheren Hostings für Ransomware-Gruppen sanktioniert wurde.
Was das für dich bedeutet
Die wichtigste Erkenntnis vorweg: Kein Virenschutz der Welt hilft, wenn du den Schädling selbst per Copy-and-paste im Terminal startest. Genau darauf setzt ClickFix. Die Masche ist deshalb so wirksam, weil sie sich als „Lösung” tarnt – ein angebliches Update, ein „Fehler”, den du nur mit diesem einen Befehl behebst. Aus CISO-Sicht ist das ein Paradebeispiel dafür, dass der Mensch die entscheidende Sicherheitsschicht bleibt.
Mein Praxis-Tipp, ganz konkret: Führe niemals einen Terminal-Befehl aus, den dir eine Webseite, eine E-Mail oder ein Chat vorgibt – egal, wie überzeugend die Begründung klingt. Ein seriöser Anbieter wird dich nie bitten, etwas ins Terminal zu kopieren, um ein Video zu sehen, ein Konto zu „verifizieren” oder einen „Fehler” zu beheben. Genauso gilt: Wird plötzlich nach dem Admin-Passwort gefragt, ohne dass du gerade bewusst etwas installierst, brich ab. Und wer nennenswerte Beträge in Kryptowährungen hält, sollte die Schlüssel nicht auf dem Alltagsrechner speichern, sondern in einer Hardware-Wallet – dann läuft die Signatur einer Transaktion auf einem separaten Gerät und ein infizierter Mac kann die Überweisung nicht heimlich umleiten. Welche Geräte sich dafür eignen, habe ich im Ratgeber zu den besten Krypto-Hardware-Wallets zusammengestellt. Dass die Angreifer es gezielt auf Wallets abgesehen haben, zeigt auch der jüngste Coldcard-Fall – Kryptowährungen bleiben 2026 ein Hauptziel.
Quellen
- BleepingComputer: ClickFix attack pushes macOS infostealer for crypto theft (06.08.2026)
- Huntress: Analyse der macOS-Krypto-Malware
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden