TW / Independent
← Research-Audits

Malware Analysis / Artefakt: Slack-Apps.dmg · SHA-256 18bc97e3f688…

Atomic Stealer: macOS-Passwortdialog, Browserdaten und Wallet-Artefakte

Versionsgebundene macOS-Analyse von Malvertising, DMG-Social-Engineering, Stringverschleierung und Datensammlung aus Browsern, Keychain und Wallets.

Prüfumfang
Malwarebytes-Vergleich von Atomic-Stealer-Samples vor und nach dem Dezember-2023-Update sowie einer beobachteten Malvertising-Kampagne.
Vorgehen
Statische Quellen- und Architekturprüfung; keine Malware beschafft, gebaut oder ausgeführt.
Material
Veröffentlichte Sample-Identität; Binärdatei nicht im lokalen Prüfbestand.
Befund

Lieferweg, Obfuskationsänderung und Zielartefakte sind dokumentiert; aktuelle Kampagnen und Varianten bleiben offen.

Keine unabhängige Sample-, Laufzeit-, C2- oder Kampagnenverifikation.

Analystennotiz

Was der Prüfbestand wirklich hergibt.

Atomic Stealer nutzt einen vertrauten macOS-Ablauf gegen den Nutzer: öffnen, überzeugen, Passwort abfragen. Wir behandeln den veröffentlichten Hash als Identität – nicht als Behauptung, die DMG selbst lokal zerlegt zu haben.

Evidence Anchorveröffentlichte Identität
Artefakt
Slack-Apps.dmg
SHA-256
18bc97e3f68864845c719754d2d667bb03f754f6e87428e33f9c763a8e6a704a
Analysegrundlage
Veröffentlichte Sample-Identität; Binärdatei nicht im lokalen Prüfbestand.
Malware / Evidence Atlas

Täuschender Download → Netzwerkgrenze

Der Analysepfad dieses Berichts. Jeder Knoten zeigt, was belegt ist, wo Detection ansetzen kann und wo die Aussage endet.

5Ablaufknoten 2Detection-Artefakte 2Regelformate
Aussage

Täuschender Download

Die dokumentierte Kampagne tarnt den macOS-Download als erwartete Anwendung.

Detection-Schwerpunkt

Downloadherkunft, Quarantäneattribut und Signaturzustand prüfen.

Primärquellengebunden
Config Surface

Konfigurations-Fingerabdruck

Analyseachsen aus dem Bericht – keine Live-Konfiguration und kein universeller Familienindikator.

01
Köderdisk image / app
Stütze
02
DialogpfadAppleScript
Kernspur
03
Datenspeicherbrowser / keychain
Kernspur
04
Exfiltrationsource-bound
Grenze
MODEL / D540E0ADKernspur, Stütze und Grenze – keine Risikowerte
Detection Pack

Defensive Artefakte

Quelle, Validierung und Grenze gehören zu jeder Regel.

QuelleEigene Ableitung aus der berichteten Verhaltenskette.ValidierungpySigma geparst; synthetische Truth-Table 3/3.GrenzeAppleScript-Passwortdialoge kommen auch in legitimen Hilfsprogrammen vor.
SigmaRegel öffnen
Defensives Modell
title: AMOS credential-prompt chain candidate
status: experimental
logsource:
  product: macos
  category: process_creation
detection:
  selection:
    Image|endswith: '/osascript'
    CommandLine|contains:
      - 'display dialog'
      - 'hidden answer'
    ParentImage|contains: '/Volumes/'
  condition: selection
falsepositives:
  - Legitimate administrative or software activity with the same isolated pattern
level: medium

Evidenzstatus Im Prüfbestand belegtPrimärquellengebundenBegrenzt oder offen

Prüfauftrag, Stand und Beleggrenze

Malwarebytes-Vergleich von Atomic-Stealer-Samples vor und nach dem Dezember-2023-Update sowie einer beobachteten Malvertising-Kampagne. Die Leitfrage lautet: Welche Architektur- und Verhaltensaussagen trägt dieser konkrete Prüfstand, und welche bleiben ausschließlich der Quelle zugeschrieben?

Was belegt ist — und was fehlt

Primärquellen, statisch prüfbarer Code und Laufzeitbeobachtungen haben unterschiedliche Aussagekraft. Die Karte hält diese Ebenen auseinander; fehlende Eigenbeobachtung wird nicht durch Plausibilität ersetzt.

FILE / EVIDENCE MAP

Belegkette und offene Laufzeitlücke

Die Karte trennt Primärquelle, reproduzierbaren Quellstand und nicht selbst erhobene Laufzeitevidenz.

Eine Dateireferenz belegt kein Laufzeitverhalten. Dokumentierte Aufbereitung ist keine erneute Ausführung.

QuelleWerkzeugAbleitungBelegFehlendReferenz geprüftDokumentiertUngeklärt

Beleglage

Nachvollziehbare Quelle mit expliziter Sample-Lücke.

Primärquelle

Veröffentlichte Analyse beziehungsweise gepinnter Upstream-Stand.

  • Primärquelle → Dokumentierte Beobachtungenin der Quelle dokumentiert · Dokumentiert

    Hier nicht unabhängig an einem Sample wiederholt.

Zugehöriges Berichtskapitel →
Dokumentierte Beobachtungen

Sample-, Sandbox- oder Telemetrieaussagen der Quelle.

  • Primärquelle → Dokumentierte Beobachtungenin der Quelle dokumentiert · Dokumentiert

    Hier nicht unabhängig an einem Sample wiederholt.

  • Dokumentierte Beobachtungen → Kein lokales Malware-SampleLaufzeit offen · Ungeklärt

    Die Prüfung bleibt statisch beziehungsweise quellengebunden.

Zugehöriges Berichtskapitel →
Kein lokales Malware-Sample

Keine eigene Laufzeit-, C2- oder Kampagnentelemetrie.

  • Dokumentierte Beobachtungen → Kein lokales Malware-SampleLaufzeit offen · Ungeklärt

    Die Prüfung bleibt statisch beziehungsweise quellengebunden.

Zugehöriges Berichtskapitel →

Grenze: Eine veröffentlichte Beobachtung ist keine eigene Reproduktion.

Eintritt und Lieferkette

Die beobachtete Kampagne begann mit einer Suchanzeige, die Slack imitierte, durch mehrere Weiterleitungen führte und Windows- sowie macOS-Payloads anbot. Der macOS-Zweig lieferte ein DMG mit Anweisung zur manuellen Ausführung. Das ist Social Engineering, keine automatische Umgehung der Plattformgrenzen.

Architektur und Datenfluss

Das Dezember-Update verschleierte zuvor sichtbare Strings, darunter Browser-, Wallet- und C2-Bezüge. Die DMG-Anwendung zeigt einen Passwortdialog, um Zugriff auf geschützte Daten zu erhalten. Browsercookies, Passwörter, Keychain- und Walletartefakte werden als getrennte Datenklassen betrachtet.

Analyseabwehr und Persistenz

Stringverschleierung reduzierte einfache statische Erkennung. Gefälschte Markenoberfläche, Nutzeranweisung und legitime Passwortabfrage-Optik verlagern einen Teil der Umgehung in die Interaktion. Eine Passwortabfrage allein ist auf macOS nicht verdächtig; Herkunft, Signierung und Folgezugriffe liefern Kontext.

Fähigkeiten, Ziel und Wirkung

Gestohlene Cookies können Sitzungen übernehmen, Keychain-Einträge Zugangsdaten offenlegen und Walletdateien finanzielle Folgen ermöglichen. Die Präsenz eines Zielpfads beweist jedoch weder erfolgreichen Zugriff noch tatsächliche Exfiltration; dafür sind Datei- und Netzwerkbelege nötig.

Telemetrieplan und Beweiskette

Auf macOS sollten Gatekeeper-/Quarantine-Herkunft, Signaturstatus, DMG-Mount, ungewöhnliche Passwortdialoge, Zugriff auf mehrere Browserprofile oder Keychain und zeitnahe ausgehende Verbindungen verbunden werden. Alte Klartextstrings sind nach dem Update schwächer. Für eine belastbare Untersuchung werden Prozess-GUID und vollständige Elternkette, Nutzer und Sitzung, Befehlszeile, Signatur- und Hashstatus, Datei- und Registryänderungen, DNS-/Verbindungsziele sowie nachgelagerte Zugriffe auf sensible Daten in einer gemeinsamen Zeitleiste erhalten. Zeitnähe ist dabei ein Belegparameter, keine bloße Visualisierung. Fehlende Sensorabdeckung wird pro Stufe markiert, damit ein nicht sichtbares Ereignis nicht fälschlich als nicht erfolgt gilt.

Detection Engineering und Gegenprüfung

Auf macOS sollten Gatekeeper-/Quarantine-Herkunft, Signaturstatus, DMG-Mount, ungewöhnliche Passwortdialoge, Zugriff auf mehrere Browserprofile oder Keychain und zeitnahe ausgehende Verbindungen verbunden werden. Alte Klartextstrings sind nach dem Update schwächer. Das folgende Modell ist bewusst eng, nicht engine-validiert und muss gegen legitime Administrations- und Softwarepfade getestet werden.

yamlDefensives Modell, nicht engine-validiertDefensives Modell
title: AMOS credential-prompt chain candidate
status: experimental
logsource:
  product: macos
  category: process_creation
detection:
  selection:
    Image|endswith: '/osascript'
    CommandLine|contains:
      - 'display dialog'
      - 'hidden answer'
    ParentImage|contains: '/Volumes/'
  condition: selection
falsepositives:
  - Legitimate administrative or software activity with the same isolated pattern
level: medium
Code lesen

Alternativhypothesen und Negativtests

Vor einer Familienzuordnung werden die im Modell verwendeten Einzelmerkmale getrennt gegen Softwareverteilung, Administratorwerkzeuge, Installer, Browser- oder Backupsoftware und bekannte interne Skripte geprüft. Mindestens ein struktureller Anker und eine zeitlich passende Verhaltenskette müssen zusammenpassen. Die Analyse bindet sich an Samples und eine Kampagne von Ende 2023/Anfang 2024. C2-Adressen und Stringmerkmale sind historisch; Sandbox-Beobachtung der Quelle ist keine eigene Reproduktion. Ein negativer Gegencheck verwirft nur die geprüfte Hypothese; er ist keine allgemeine Entwarnung.

Attribution und Variantenrisiko

Die Analyse bindet sich an Samples und eine Kampagne von Ende 2023/Anfang 2024. C2-Adressen und Stringmerkmale sind historisch; Sandbox-Beobachtung der Quelle ist keine eigene Reproduktion.

Abschließende Bewertung

Die Analyse liefert eine belastbare Architektur- und Detektionsgrundlage für den benannten Stand. Sie ist kein Beweis für aktuelle Aktivität, vollständige Variantenabdeckung oder einen bestimmten Betreiber.

Befunde im Überblick

  • Der Angriff kombiniert Markenimitation und manuelle DMG-Ausführung.
  • Das Update verschob Erkennung von Klartextstrings zu Verhalten und Datenzugriff.
  • Cookies, Keychain und Wallets haben unterschiedliche Beleg- und Auswirkungsgrenzen.

Grenzen der Prüfung

  • Keine unabhängige Sample-, Laufzeit-, C2- oder Kampagnenverifikation.
  • Die Analyse bindet sich an Samples und eine Kampagne von Ende 2023/Anfang 2024. C2-Adressen und Stringmerkmale sind historisch; Sandbox-Beobachtung der Quelle ist keine eigene Reproduktion.
  • Defensive Modelle sind nicht mit einer Zielengine validiert.

Kontext, nicht Beleg

Der Evidence Anchor am Anfang nennt den tatsächlich verwendeten Binär-, Datei- oder Revisionsbezug. Diese Links liefern Einordnung und berichtete Beobachtungen; sie ersetzen keine lokale Sample-Analyse.

Malwarebytes — Atomic Stealer updated version ↗
Abschließendes Urteil

Fazit

Fazit: Struktur vor Signatur

Der höchste defensive Wert entsteht aus der Verbindung von Eintritt, interner Architektur, Persistenz, Wirkung und Telemetrie. Einzelne Namen, Hashes oder IOCs bleiben Hilfsbelege, nicht das Urteil.

Nächste Schritte

  • Modelle gegen synthetische Positivfälle und legitime Negativfälle prüfen.
  • Version und Evidenzstand bei jeder Aktualisierung neu binden.
  • Laufzeitbehauptungen erst nach eigener, rechtmäßig verfügbarer Telemetrie erweitern.
Worauf dieses Urteil beruhtHoch für direkt prüfbare Struktur; begrenzt für nicht selbst reproduzierte Laufzeit- und Kampagnenaussagen.
Malwarebytes-Vergleich von Atomic-Stealer-Samples vor und nach dem Dezember-2023-Update sowie einer beobachteten Malvertising-Kampagne.
← Alle Research-Audits

Gespräch starten

Projekt besprechen.

Gespräch starten