Hanau, 12. Mai 2014

Der IT-Sicherheitsspezialist Doctor Web warnt vor böswilligen Anwendungen von Werbe-Trojanern, die Mac OS X-Rechner angreifen. Bisher waren von dieser Art Trojaner nur Windows-Benutzer betroffen. Seit Kurzem erhalten aber auch Anwender des Mac-OS-X-Betriebssystems aufdringliche Werbung über Safari und Google Chrome von Apple. Das Problem liegt in den Plug-ins, die im System beim Aufrufen von bestimmten Webseiten installiert werden. Diese schadhaften Plug-ins werden zusammen mit nützlichen Anwendungen verbreitet.

Eine dieser Anwendungen heißt beispielsweise Downlite. Sobald der Benutzer auf Download klickt, wird er auf eine andere Website weitergeleitet. Anschließend wird für Apple-kompatible Rechner die Installationsdatei StartDownload_oREeab.dmg heruntergeladen und Downlite.app installiert.

Diese Installationsdatei, die durch Dr.Web Antivirus als Trojan.Downlite.1 erkannt wird, installiert die vertrauenswürdige Anwendung DlLite.app sowie weitere Plug-ins. Dabei wird der Benutzer von Mac OS X nach seinem Passwort gefragt.

Solche Plug-ins werden auch mit den Anwendungen wie MacVideoTunes, MediaCenter_XBMC, Popcorn-Time und VideoPlayer_MPlayerX verbreitet. Eine solche Anwendung ist zum Beispiel MoviePlayer (MacVideoTunes). Im ersten Schritt wird der Benutzer von MoviePlayer gebeten, den nicht signierten Installationsassistenten auszuführen.

Anschließend wird er aufgefordert, einen unbekannten „Optimizer“ zu installieren. Dabei wird auch die Applikation installiert.

Dieser Installationsassistent, der als Trojan.Vsearch.8 erkannt wird, ist aus funktionalen Sicht Trojan.Downlite.1 sehr ähnlich. Der Unterschied besteht darin, dass dev.Jack auf dem Rechner die Datei takeOverSearchAssetsMac.app (Trojan.Conduit.1) installiert.

In allen Fällen installiert der Assistent nützliche Dateien wie VSearchAgent.app, VSearchLoader.bundle, VSearchPlugIn.bundle, libVSearchLoader.dylib und VSInstallerHelper. Das Resultat ist eine aufdringliche Werbung, die den Mac-OS-X-Benutzern gezeigt wird. Darunter unter anderem:

• markierte Schlüsselwörter mit Werbetext;
• ein kleines Fenster unten links mit dem Button Hide Ad;
• Banner auf Seiten der Suchmaschinen etc.

Ewa Stalewska, Sales Manager bei Doctor Web empfiehlt: „Benutzer von Mac OS X sollten Anwendungen aus nicht vertrauenswürdigen Quellen ignorieren und bestenfalls eine Antivirensoftware benutzen.“