Apple hat es notarisiert. Es hat trotzdem vierzehn Passwort-Manager geleert.
Apple hat eine Mac-App notarisiert, die vierzehn Passwort-Manager mit einem gefälschten Passwortfeld leerte. Niemand wurde gehackt. Die Tresore befanden sich die ganze Zeit auf dem Gerät.
Jemand bei Jamf hat letzte Woche eine Mac-App aus dem Stapel gezogen, die alles richtig gemacht hatte. Signiert mit einer echten Apple Developer ID. Von Apple selbst notarisiert. Hatte Gatekeeper ohne eine einzige Warnung passiert. Sie hieß CrashStealer und räumte den Rechner vollständig aus.
Ein Dialogfeld. Das war der gesamte Raubzug.
Sie laden herunter, was wie eine Installations-App aussieht, und sie besteht jede Apple-Prüfung – weil sie tatsächlich jede Apple-Prüfung besteht. Leise lädt sie eine zweite App von GitHub nach, verkleidet sie als Apples eigenen Absturzreporter und zeigt genau das eine Dialogfeld an, dem jeder Mac-Nutzer reflexartig gehorcht: eine Systemabfrage nach Ihrem Anmeldepasswort. Sie tippen es ein. Die Schadsoftware bestätigt, dass das Passwort korrekt ist, und nutzt es anschließend, um Ihren macOS-Schlüsselbund zu entsperren und mit allem darin zu verschwinden.
Allem. Dem Schlüsselbund. Ihren Browser-Anmeldedaten. Achtzig Krypto-Wallet-Erweiterungen. Und vierzehn Passwort-Manager namentlich: 1Password, Bitwarden, LastPass, Dashlane, Keeper und neun weitere. Ein Stealer, ein Nachmittag, ein gefälschtes Passwortfenster.
Der Tresor lag die ganze Zeit auf Ihrem Mac.
Keiner dieser Passwort-Manager wurde gehackt. Das ist der entscheidende Punkt, also hier unmissverständlich: Niemand hat 1Password kompromittiert, niemand hat Bitwarden kompromittiert, deren Server sind intakt, die Schadsoftware hat sie nie berührt. Sie hat lediglich die Tresore geöffnet, die auf Ihrem Mac lagen – mit dem Anmeldepasswort, das Sie ihr gegeben haben –, denn genau dort leben diese Tresore: entschlüsselt oder einen Schlüsselbund-Entsperrvorgang entfernt, auf demselben Rechner, den jeder mit einer einzigen überzeugenden Lüge übernehmen kann.
Das ist das Gesetz, das niemand auf die Packung druckt: Wenn Ihr Tresor auf Ihrem Gerät entschlüsselt wird, gehört Ihr Tresor demjenigen, der Ihr Gerät besitzt. Ihr Passwort-Manager ist genau so sicher wie der unvorsichtigste Moment, den Sie auf diesem Laptop je haben werden. Apples Notarisierung hat Sie nicht geschützt – sie hat den Einbrecher durchgewinkt –, denn sie prüft die Datei, die Sie hochladen, nicht die Datei, die jene Datei eine Stunde später nachlädt. Und die zweite App begegnet Gatekeeper überhaupt nicht, weil alles, was ein laufendes Programm schreibt, die Prüfung umgeht. Die gesamte Vertrauenskette ist ein Sicherheitsschloss an der Haustür ohne dahinterstehende Wand.
Apple entzog dem Entwickler die Signaturzertifikate, sobald Jamf den Vorfall meldete. Die nächste Gruppe registriert bis Freitag neue, denn an der Technik selbst wurde nichts behoben.
Hören Sie also auf zu fragen, ob Ihr Passwort-Manager gehackt wird. Wahrscheinlich nicht. Stellen Sie die eigentliche Frage: Was trägt ein Stealer davon, wenn er den Rechner besitzt, auf dem Ihr Tresor entschlüsselt wird? Für jedes Produkt auf jener Liste von vierzehn lautet die Antwort: alles.
Ein leerer Raum.
Es gibt eine Architektur, die diese Antwort nicht berührt, und die haben wir gebaut. Clavitor entschlüsselt niemals einen Tresor auf Ihrem Gerät. Es gibt keine lokale Tresordatei zum Öffnen, nichts im Schlüsselbund abgelegt und kein Anmeldepasswort irgendwo im Schlüsselpfad, das ein gefälschtes Dialogfeld stehlen könnte – denn der Tresorschlüssel liegt auf Ihrem Hardware-Key und nirgendwo sonst. Anmeldedaten werden live abgerufen, einzeln, im Augenblick ihrer Verwendung, und sind danach weg. CrashStealer kann seine gesamte Routine gegen eine Clavitor-Installation ausführen und findet einen leeren Raum sowie eine Passworteingabe, die nichts entsperrt.
Es wäre eine Lüge zu behaupten, das mache das Endgerät sicher. Wer die Maschine übernimmt, während eine Anmeldeinformation gerade verwendet wird, kann genau diese eine Anmeldeinformation in genau diesem einen Moment abgreifen. Aber das ist ein einzelner Schlüssel im Transit – nicht vierzehn ruhende Tresore. CrashStealers gesamtes Geschäftsmodell beruht darauf, dass die Beute einfach herumliegt. Entfernen Sie die Beute, und der ausgefeilteste Stealer auf macOS geht mit einem ablaufenden Token und einem Foto Ihres Desktophintergrunds ab.
Vierzehn Passwort-Manager, geleert durch ein Dialogfeld, und keiner von ihnen wurde gehackt. Wenn das nicht verändert, wie Sie darüber nachdenken, wo Ihre Zugangsdaten nachts ruhen, wird es nichts tun.
Clavitor (@clavitorai) ist der Anmeldedaten-Tresor, gebaut für KI-Agenten – und gegen sie. clavitor.ai
Quellen
Jamf Threat Labs (@jamf): „CrashStealer: C++ macOS-Infostealer, der sich als Absturzreporter tarnt." Die primäre Analyse: Ein notarisierter Dropper passiert Gatekeeper, lädt einen zweistufigen Crash-Reporter-Imitator nach und signiert ihn erneut, fälscht die Anmeldepasswort-Abfrage (lokal validiert), entsperrt den macOS-Schlüsselbund und entwendet Browser-Daten, ~80 Wallet-Erweiterungen und 14 Passwort-Manager vor der AES-GCM-Exfiltration. Apple hat dem Entwickler die Signaturzertifikate nach Jamfs Meldung entzogen. [1]
BleepingComputer (@BleepinComputer): „Neue CrashStealer-Schadsoftware gibt sich als Apple-Absturzmeldetool aus." [2]
The Hacker News (@TheHackersNews): „CrashStealer macOS-Malware nutzt notarisierten Dropper, um Gatekeeper-Prüfungen zu umgehen." [3]
(Überprüfen Sie vor dem Veröffentlichen, ob die Profile noch aktiv sind: @jamf, @BleepinComputer, @TheHackersNews.)