Ransomware auf dem Mac: Eine mehrschichtige Verteidigung, die wirklich hält

Die meisten Artikel über Ransomware auf dem Mac beginnen damit, sie entweder abzutun („Macs bekommen keine Ransomware“) oder aufzublasen („die Angriffe explodieren“). Beides ist nicht ehrlich. Die dokumentierte Bilanz ist kurz, konkret und es lohnt sich, sie genau zu lesen, denn sie sagt Ihnen exakt, wofür jede Schicht einer Verteidigung da ist. Dieser Artikel geht diese Bilanz durch, dann die Schichten, und benennt ausdrücklich, welche davon eine Firewall abdeckt und welche nicht.

Was auf macOS tatsächlich passiert ist

KeRanger, März 2016. Unit 42 von Palo Alto Networks berichtete am 6. März 2016, dass ein kompromittierter Installer des BitTorrent-Clients Transmission, heruntergeladen von der eigenen Website des Projekts, die erste voll funktionsfähige Ransomware für OS X enthielt. Sie war mit einem gültigen Entwicklerzertifikat signiert, was sie an Gatekeeper vorbeiließ. Ihr Verhalten ist der Teil, den man sich merken sollte: Laut Unit 42 wartete sie drei Tage, verband sich dann über das Tor-Netzwerk mit ihren Command-and-Control-Servern und begann erst danach, Dateien zu verschlüsseln. Apple widerrief das Zertifikat und aktualisierte XProtect innerhalb weniger Tage.

ThiefQuest, auch EvilQuest genannt, Juni 2020. Patrick Wardles Objective-See veröffentlichte seine erste Analyse am 29. Juni 2020 und beschrieb ein Sample, das sich über trojanisierte Installer von Raubkopien verbreitete und sich über Launch Agents und Daemons dauerhaft einnistete. ThreatDown (damals Malwarebytes) berichtete am Tag darauf, dass zu den raubkopierten Installern Little Snitch und Mixed In Key gehörten. Die Verschlüsselung war fast eine Nebensache: Das Sample trug außerdem einen Keylogger und öffnete eine Reverse Shell zu einem Command-and-Control-Server, weshalb Forscher es umbenannten. Es war ein Datendieb im Ransomware-Kostüm.

LockBit, April 2023. BleepingComputer berichtete am 16. April 2023, dass für LockBit, damals eine der größten Ransomware-as-a-Service-Operationen, für macOS gebaute Verschlüsselungsprogramme gefunden worden waren. Forscher, die die Builds untersuchten, kamen zu dem Schluss, dass es sich höchstwahrscheinlich um Testversionen handelte, mit Verweisen auf inkompatible Systeme und fehlenden Teilen macOS-spezifischer Funktionalität, und dass sie nicht für echte Angriffe bereit waren. Die Geschichte ist weniger wichtig wegen dem, was der Build tat, als wegen dem, was er signalisierte: Eine große kriminelle Operation hatte entschieden, dass der Mac ein Entwicklungsbudget wert ist.

Drei Fälle in sieben Jahren sind keine Epidemie. Aber jeder kam über einen Weg herein, der heute noch existiert: ein vertrauter Download, der heimlich ausgetauscht wurde, Raubkopien und eine industrialisierte kriminelle Lieferkette. Eine mehrschichtige Verteidigung ist um diese Wege herum gebaut, nicht um eine Schlagzeilenzahl.

Schicht eins: nicht vertrauenswürdigen Code vom Ausführen abhalten

Apples eigene Dokumentation zur Plattformsicherheit beschreibt den Schutz von macOS gegen feindliche Software als drei Stufen: sie am Start hindern (der App Store, Gatekeeper und die Beglaubigung), sie am Ausführen hindern (dieselben Werkzeuge plus XProtect) und sie nach der Ausführung beseitigen (wieder XProtect). Das ist die Schicht, die KeRanger innerhalb von Tagen stoppte, sobald Apple das Zertifikat widerrufen hatte. Es ist auch die Schicht, zu deren Umgehung Raubkopien existieren: Jedes ThiefQuest-Opfer hatte Gatekeeper absichtlich umgangen, um eine gecrackte Anwendung zu installieren. Die wirksamste Ransomware-Kontrolle auf einem Mac ist deshalb kein Produkt. Sie ist eine Richtlinie: nichts Gecracktes, nichts aus einem Torrent, und kein „Rechtsklick, Öffnen“, um eine Gatekeeper-Warnung zu erzwingen, es sei denn, Sie wissen genau, warum die Warnung erschienen ist.

Schicht zwei: das Netzwerk beobachten, denn Ransomware spricht

Die Verschlüsselung ist der letzte Schritt, nicht der erste. MITRE ATT&CK führt sie als Data Encrypted for Impact (T1486), eine Technik der Impact-Phase, und die Phasen davor betreffen das Netzwerk. Ein Sample holt einen Schlüssel oder Anweisungen von einem Command-and-Control-Server; es kann Dateien vor der Verschlüsselung abziehen, damit die Erpressung zusätzlich mit Veröffentlichung drohen kann, was ATT&CK als Exfiltration Over C2 Channel (T1041) katalogisiert; ThiefQuest betrieb sogar eine Reverse Shell. KeRanger saß drei Tage still und stellte dann seine erste ausgehende Verbindung über Tor her. Diese erste Verbindung ist das, was eine Firewall pro App zu sehen positioniert ist.

Hier passt FireAI hinein, und die Passung ist eng, aber real. FireAI erkennt keine Verschlüsselung. Es beobachtet nicht, wie sich Dateien ändern, es analysiert keine Prozesse oder den Speicher, und es kann nichts entschlüsseln. Was es tut, ist, jede ausgehende Verbindung als Entscheidung zu behandeln. Eine Binärdatei, die sich noch nie verbunden hat, löst eine Berechtigungsnachfrage aus, mit der Begründung des lokalen Modells daneben; dasselbe Modell kann eine Verbindung von einer unbekannten App zu einem verdächtigen Ziel eigenständig blockieren oder markieren. Zu den Threat-Intelligence-Feeds, die FireAI lokal anwendet, gehören die Tor-Exit-Node-Liste, abuse.ch, Spamhaus, FireHOL und Phishing-Listen, sodass eine erste Verbindung zu bekannter krimineller Infrastruktur per Regel statt per Urteil blockiert wird. Und wenn Sie vermuten, dass etwas läuft, kappt der Kill-Switch den Internetzugang und behält das lokale Netzwerk bei, was die Command-and-Control-Verbindung unterbricht, ohne einer Maschine den Stecker zu ziehen, die Sie vielleicht für die Forensik brauchen.

Seien Sie sich über die Versagensfälle im Klaren. Ein Sample, das verschlüsselt, ohne sich je zu verbinden, mit einem in seinem eigenen Code eingebetteten Schlüssel, ist für eine Firewall unsichtbar. Ein Sample, das eine bereits genehmigte Anwendung nutzt, etwa einen Browser, um seinen Server zu erreichen, geht im erlaubten Datenverkehr unter. Eine Firewall verringert die Chance, dass der Angriff leise und vollständig ist; sie macht Verschlüsselung nicht unmöglich.

Schicht drei: Backups, die der Angreifer nicht erreichen kann

Ob ein Verschlüsselungsvorfall ein schlechter Nachmittag oder eine geschäftsbeendende Woche ist, entscheidet sich vollständig in dieser Schicht. Der #StopRansomware Guide der CISA setzt sie an die erste Stelle seiner Vorbereitungsschritte: Halten Sie offline gespeicherte, verschlüsselte Backups kritischer Daten vor, testen Sie sie regelmäßig, und erwägen Sie unveränderlichen Speicher, der gespeicherte Daten schützt, ohne eine separate Umgebung zu benötigen. Das Wort, das die Arbeit leistet, ist offline. Ein Time-Machine-Laufwerk, das dauerhaft angeschlossen ist, ist ein eingebundenes Volume, und ein eingebundenes Volume ist ein Ziel; ein Cloud-Sync-Ordner ist überhaupt kein Backup, wenn er die verschlüsselten Versionen Ihrer Dateien getreu über die Originale synchronisiert.

Auf einem Mac ist die praktische Umsetzung unkompliziert. Apples Anleitung zu Time Machine erklärt das Einrichten automatischer Backups auf ein externes Laufwerk oder ein unterstütztes Netzwerkvolume. Wechseln Sie zwischen zwei Laufwerken ab und halten Sie eines getrennt, oder werfen Sie das Laufwerk wenigstens zwischen den Backups aus. Bewahren Sie eine zweite Kopie an einem Ort auf, der Dateien versioniert statt sie zu spiegeln, damit die saubere Version von gestern das Überschreiben von heute überlebt. Testen Sie dann die Wiederherstellung einer echten Datei vom getrennten Laufwerk, damit Sie wissen, dass der Vorgang funktioniert, bevor Sie ihn unter Druck brauchen. FireAI spielt in dieser Schicht keine Rolle, und das sollte gesagt werden: Keine Firewall sichert irgendetwas.

Schicht vier: begrenzen, was ein Mac erreichen kann

Ransomware in Unternehmen richtet den meisten Schaden auf gemeinsam genutztem Speicher an, und ein Mac mit einer eingebundenen Freigabe kann alles verschlüsseln, worauf er schreiben darf. Geben Sie Menschen Schreibzugriff nur auf die Freigaben, die sie tatsächlich nutzen, und geben Sie Dienstkonten eigene Anmeldedaten, damit ein kompromittiertes Login nicht den ganzen Dateiserver öffnet. Auf dem Mac selbst lassen Sie die Regeln pro App in FireAI entscheiden, welche Anwendungen Ihr NAS, Ihre Cloud-Speicher-Hosts oder Ihr Büronetzwerk überhaupt erreichen dürfen: Eine unbekannte Binärdatei, die den Dateiserver auf Port 445 zu erreichen versucht, muss an einer Regel vorbei, die ihr nie erteilt wurde. Die strengeren Sicherheitsmodi Paranoid und Unter Angriff gehen weiter und verweigern unsignierten Apps den Netzwerkzugang vollständig.

Wenn es trotzdem passiert

• Trennen Sie den Mac zuerst vom Netzwerk. Der Kill-Switch von FireAI tut das und hält das lokale Netzwerk verfügbar; das Kabel zu ziehen tut es gründlicher.
• Zahlen Sie nicht, bevor Sie Ihre Backups geprüft haben. Der Leitfaden der CISA führt durch Isolierung, Triage und Meldung, bevor irgendeine Entscheidung über ein Lösegeld fällt.
• Bewahren Sie die Maschine. Sie zu löschen zerstört die Beweise, die Ihnen sagen, wie das Sample hereinkam und was es hinausgeschickt hat.
• Melden Sie es. In den Vereinigten Staaten sind das die CISA oder das FBI; in Frankreich Cybermalveillance.gouv.fr und eine Anzeige bei der Polizei; anderswo Ihr nationales CERT.
• Stellen Sie von der Offline-Kopie auf eine saubere Installation wieder her, nicht auf das kompromittierte System.

Was „vollständige Verteidigung“ ehrlich bedeutet

Kein einzelnes Werkzeug ist eine Ransomware-Verteidigung, und jeder Hersteller, der etwas anderes behauptet, verkauft eine Schicht als vier. Gatekeeper und Ihre eigene Download-Disziplin halten den größten Teil feindlichen Codes vom Ausführen ab. Eine Firewall pro App zwingt den Code, der doch läuft, vor dem Sprechen zu fragen, und blockiert die Ziele, die bereits als kriminell bekannt sind. Offline-Backups machen Verschlüsselung überlebbar. Minimale Rechte auf Freigaben verhindern, dass ein einzelner schlechter Mac zu einem Vorfall für das ganze Büro wird. Die Schichten überlappen sich mit Absicht, denn jede hat ein Loch, das die anderen abdecken. So sieht eine Verteidigung aus, die hält: nicht undurchdringlich, aber so gebaut, dass kein einzelnes Versagen tödlich ist.

Wo FireAI und HisnLabs ins Spiel kommen

The two best-documented Mac ransomware families, KeRanger and ThiefQuest, both talked to a server before or during encryption — and watching for that conversation, from a binary that has never connected before, is the one part of the defence a per-app firewall like FireAI can honestly claim.

FireAI ist das eigene Produkt von HisnLabs: eine KI-Firewall für den Mac, die direkt auf dem Gerät läuft. Sie zeigt jede Verbindung Ihrer Apps in verständlicher Sprache und lässt Sie entscheiden, was Ihren Mac verlässt — die KI arbeitet lokal, Ihr Datenverkehr wird also nie an uns oder irgendjemand anderen gesendet. Das Sicherheitsforschungsteam von HisnLabs sorgt dafür, dass diese Entscheidungen verlässlich bleiben: Es katalogisiert, welche Domains gewöhnliche Telemetrie und welche ein echter Dienst sind, verfolgt Land und Netzwerk hinter einer Verbindung und trainiert das lokale Modell (die Autopilot-Funktion) mit echten Verkehrsmustern — ohne dass irgendetwas davon Ihren Mac verlässt.

Die technischen Entscheidungen dahinter können Sie nachlesen — oder FireAI 17 Tage lang ausprobieren — unter FireAI, von HisnLabs.