Holy... ich habe mir einen so genannten
#macOS JXA
#Backdoor Loader eingefangen. Gemeldet hat es vorhin
#CleanMyMac. Ich hab es mal von
#Codex analysieren lassen, und es hat mir den Verdacht bestätigt und einen Report erstellt.
—
Warnung: DigitStealer über die gefälschte „AppleLake“-AppWas ist es?
Der untersuchte JavaScript-Code ist eine persistente macOS-Backdoor aus der Malware-Familie DigitStealer. Er läuft als JavaScript for Automation (JXA) über osascript und ist stark verschleiert, damit Sicherheitsprogramme und Analysten ihn schwerer erkennen.
Eine konkrete Person oder Gruppe ist bislang nicht belastbar identifiziert. Jamf Threat Labs schreibt ausdrücklich, dass die Attribution dieser Variante unklar ist. Der Entwickler der echten DynamicLake-App hat damit nichts zu tun. Seine Software und Marke werden lediglich imitiert.
Was macht es?
Die untersuchte Datei ist vor allem die dauerhafte Fernsteuerung des Angriffs:
Sie ermittelt die Hardware-UUID des Macs und verwendet deren MD5-Hash als Gerätekennung.Sie kontaktiert alle 60 Sekunden fixyourallergywithus[.]com/api/poll.Sie verarbeitet Proof-of-Work-Aufgaben und Zugriffstoken des Servers.Sie lädt beliebige weitere Befehle oder Payloads nach.Diese werden unsichtbar als Bash, AppleScript oder JXA ausgeführt.Ein LaunchAgent startet die Backdoor bei jeder Anmeldung erneut und hält sie dauerhaft aktiv.
Die übrigen Stufen von DigitStealer stehlen laut Jamf unter anderem Browserdaten, Cookies, Passwörter, Keychain-Daten, Telegram-Sitzungen, Dokumente und Daten von Kryptowährungs-Wallets. Der hier untersuchte Code sorgt anschließend für dauerhaften Fernzugriff.
Wo kommt es her?
Die lokale Forensik ergab eine lückenlose Infektionskette vom 7. Februar 2026:
Ein YouTube-Video bewarb „Apple Lake“ als Dynamic-Island-App für macOS.Der Link führte zu applake[.]app.Von dort wurde AppleLake.dmg über Dropbox geladen.Das Image forderte dazu auf, Drag into Terminal.xyz im Terminal auszuführen.In genau derselben Sekunde wurden die JXA-Backdoor und ein LaunchAgent unter zufällig wirkenden Namen installiert.
Diese Verteilung ist kein Einzelfall. Eine Analyse der AppleLake-Kampagne verbindet applake.app, YouTube-Werbung und AppleLake.dmg direkt mit DigitStealer. Ein öffentliches AppleLake.dmg-Sample bei MalwareBazaar bestätigt die Malware-Verteilung unter diesem Namen. Auch die verwendete C2-Domain taucht in einer öffentlichen Falcon-Sandbox-Analyse auf.
Wie hängt alles zusammen?
YouTube-Werbung → gefälschte Website → AppleLake.dmg → Terminal-Dropper → Datendiebstahl + persistente JXA-Backdoor → Fernsteuerung über C2
Das sichtbare „AppleLake“-Programm ist nur der Köder. Der Terminal-Schritt umgeht die normale App-Prüfung und startet mehrere Schadcode-Stufen. Der Infostealer sammelt und überträgt Daten. Der LaunchAgent sorgt dafür, dass die Backdoor auch nach Neustarts weiterläuft und jederzeit neue Befehle empfangen kann.
Wer AppleLake.dmg oder eine angebliche macOS-App per „Drag into Terminal“ ausgeführt hat, sollte den Mac als kompromittiert betrachten. Nur die sichtbare Datei zu löschen reicht nicht. Sitzungen und Zugangsdaten sollten von einem sauberen Gerät aus widerrufen beziehungsweise geändert werden. Für eine verlässliche Bereinigung ist eine vollständige Neuinstallation von macOS die sicherste Option.
#macOS #Malware #DigitStealer #Infosec #Cybersecurity
