Nordkoreas Fake-Job-Malware: vier Gründe, warum mein Antivirenprogramm schwieg

Kurz gesagt: Mich hat es zweimal mit falschen Upwork-Jobs erwischt, und mein Antivirenprogramm hat beide Male nichts gesagt. Die Quellen nennen vier Gründe, warum es nichts zu beanstanden hatte: Ich habe den Code selbst ausgeführt, also traten die Prüfungen des Mac beiseite; er nutzte vertrauenswürdige Tools wie node, curl und bash; die Varianten waren neu, die Signaturen kamen also später; und eine gestohlene Login-Sitzung kann an der 2FA vorbeikommen. Was laut den Quellen hilft: jede Installation als Code behandeln, misstrauisch sein, wenn dich jemand bittet, einen Terminal-Befehl auszuführen, und prüfen, was Code tut, bevor er zum ersten Mal läuft.

Stumm, zweimal

Das ist meine eigene Geschichte; beide Begegnungen habe ich in Zwei falsche Upwork-Jobs, ein infizierter Mac aufgeschrieben. Was mich am meisten gestört hat: „neither macOS's built-in XProtect nor traditional antivirus made a sound, either time“ (weder das in macOS eingebaute XProtect noch klassische Antivirensoftware haben auch nur einen Mucks gemacht, beide Male nicht).

Das heißt nicht, dass Antivirensoftware nutzlos ist. Die Quellen unten sagen, dass sie hinterherhinkt und umgangen wird, nicht, dass sie wertlos ist.

1. Ich habe ihn selbst ausgeführt

Microsoft Threat Intelligence beschreibt eine macOS-Kampagne des nordkoreanischen Akteurs Sapphire Sleet, „that relies on social engineering rather than software vulnerabilities“ (die auf Social Engineering statt auf Software-Schwachstellen setzt).

In Microsofts Worten: „By persuading users to manually execute AppleScript or Terminal‑based commands, Sapphire Sleet shifts execution into a user‑initiated context, allowing the activity to proceed outside of macOS protections such as Transparency, Consent, and Control (TCC), Gatekeeper, quarantine enforcement, and notarization checks.“ (Indem Sapphire Sleet Nutzer dazu bringt, AppleScript- oder Terminal-Befehle manuell auszuführen, verlagert es die Ausführung in einen vom Nutzer angestoßenen Kontext, sodass die Aktivität außerhalb von macOS-Schutzmechanismen wie Transparency, Consent, and Control (TCC), Gatekeeper, der Quarantäne-Durchsetzung und den Notarisierungsprüfungen ablaufen kann.)

2. Vertrauenswürdige Tools

Noch einmal Microsoft: „This activity demonstrates how threat actors continue to rely on user interaction and trusted system utilities to bypass macOS platform security protections, rather than exploiting traditional software vulnerabilities.“ (Diese Aktivität zeigt, wie Angreifer weiterhin auf Nutzerinteraktion und vertrauenswürdige Systemwerkzeuge setzen, um die Sicherheitsmechanismen der macOS-Plattform zu umgehen, statt klassische Software-Schwachstellen auszunutzen.)

Das passt zu dem, was ich gesehen habe: „These attacks come in new packaging every time and use the most ordinary tools there are, like node, curl and bash, so traditional antivirus has no reason to find them suspicious.“ (Diese Angriffe kommen jedes Mal in neuer Verpackung und nutzen die gewöhnlichsten Tools überhaupt, wie node, curl und bash, also hat klassische Antivirensoftware keinen Grund, sie verdächtig zu finden.)

3. Neu, also keine Signatur

Signaturen kommen durchaus, sobald eine Kampagne bekannt ist: Microsoft merkt an: „Apple has also deployed XProtect signatures to detect and block the malware families associated with this campaign—macOS devices receive these signature updates automatically.“ (Apple hat außerdem XProtect-Signaturen ausgerollt, um die mit dieser Kampagne verbundenen Malware-Familien zu erkennen und zu blockieren; macOS-Geräte erhalten diese Signatur-Updates automatisch.)

Aber neue Varianten können durchrutschen, wenn sie entdeckt werden. SentinelOne berichtete Anfang 2025 von „newly discovered samples that we have labelled 'FlexibleFerret' and which remain undetected by XProtect at the time of writing“ (neu entdeckten Samples, die wir „FlexibleFerret“ genannt haben und die zum Zeitpunkt des Schreibens von XProtect nicht erkannt werden).

Auch das Entfernen von Paketen beendet es nicht. Socket: „Since our July 14, 2025 update, we have identified and analyzed more than 338 malicious packages with over 50,000 cumulative downloads.“ (Seit unserem Update vom 14. Juli 2025 haben wir mehr als 338 bösartige Pakete mit insgesamt über 50.000 Downloads identifiziert und analysiert.) Und: „We continue to see weekly upload bursts, rapid re-uploads after takedowns, and iterative changes to loaders and postinstall scripts.“ (Wir sehen weiterhin wöchentliche Upload-Wellen, schnelle erneute Uploads nach dem Entfernen und schrittweise Änderungen an Loadern und postinstall-Skripten.)

4. Eine gestohlene Sitzung umgeht die 2FA

Microsoft schrieb 2022 über Phishing: „Once the attacker obtains the session cookie, they can inject it into their browser to skip the authentication process, even if the target's MFA is enabled.“ (Sobald der Angreifer das Sitzungscookie hat, kann er es in seinen Browser einschleusen und die Authentifizierung überspringen, selbst wenn beim Ziel MFA aktiviert ist.)

Bei Bybit war laut FBI „North Korea was responsible for the theft of approximately $1.5 billion USD in virtual assets from cryptocurrency exchange, Bybit“ (Nordkorea verantwortlich für den Diebstahl von rund 1,5 Milliarden US-Dollar in virtuellen Vermögenswerten bei der Kryptobörse Bybit). Safe{Wallet}, zitiert von The Hacker News: „The attack involved the compromise of a Safe{Wallet} developer's laptop ('Developer1') and the hijacking of AWS session tokens to bypass multi-factor authentication ('MFA') controls.“ (Zum Angriff gehörten die Kompromittierung des Laptops eines Safe{Wallet}-Entwicklers („Developer1“) und das Kapern von AWS-Sitzungstokens, um die Kontrollen der Multi-Faktor-Authentifizierung („MFA“) zu umgehen.)

Selbst Fachleute fallen darauf herein

Das FBI: „Given the scale and persistence of this malicious activity, even those well versed in cybersecurity practices can be vulnerable to North Korea's determination to compromise networks connected to cryptocurrency assets.“ (Angesichts des Ausmaßes und der Hartnäckigkeit dieser bösartigen Aktivität können selbst Menschen, die sich mit Cybersicherheit gut auskennen, verwundbar sein für Nordkoreas Entschlossenheit, Netzwerke mit Verbindung zu Kryptowerten zu kompromittieren.)

Was hilft

1. Prüfen, was Code tut, bevor er zum ersten Mal läuft, nicht, wie er heißt. Das ist meine Lehre aus beiden Begegnungen.
2. Jede Installation ist Code. Socket: „Treat every npm install as code execution and block risky behavior before it reaches developer machines or pipelines.“ (Behandle jedes npm install als Codeausführung und blockiere riskantes Verhalten, bevor es Entwicklerrechner oder Pipelines erreicht.)
3. Nie den Befehl eines Fremden einfügen. Microsoft rät: „Educate users about social engineering threats originating from social media and external platforms, particularly unsolicited outreach requesting software downloads, virtual meeting tool installations, or execution of terminal commands.“ (Nutzer über Social-Engineering-Bedrohungen aus sozialen Medien und externen Plattformen aufklären, insbesondere über unaufgeforderte Kontaktaufnahmen, die zum Herunterladen von Software, zur Installation von Tools für virtuelle Meetings oder zum Ausführen von Terminal-Befehlen auffordern.)

Nach meinen zwei Begegnungen habe ich Tsuba gebaut, eine kostenlose Mac-App mit einer Idee: „before unfamiliar code runs for the first time, it takes a look for you“ (bevor unbekannter Code zum ersten Mal läuft, wirft sie für dich einen Blick darauf).

Quellen

• Oliver Zhang, Zwei falsche Upwork-Jobs, ein infizierter Mac, 28. Okt. 2026
• Microsoft Threat Intelligence, Dissecting Sapphire Sleet's macOS intrusion from lure to compromise, 16. Apr. 2026
• SentinelOne, macOS FlexibleFerret: Further Variants of DPRK Malware Family Unearthed, aktualisiert 2. Sep. 2025
• Socket, North Korea's Contagious Interview Campaign Escalates: 338 Malicious npm Packages, 50,000 Downloads, 10. Okt. 2025
• Microsoft, From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud, 12. Juli 2022
• The Hacker News, Safe{Wallet} Confirms North Korean TraderTraitor Hackers Stole $1.5 Billion in Bybit Heist, 7. März 2025
• FBI, PSA 250226 (Bybit), 26. Feb. 2025
• FBI, PSA 240903: North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks, 3. Sep. 2024

Das Video ist mit Code animiert, und das Skript entstand mit KI-Unterstützung; jedes Zitat oben ist an den Quellen geprüft. Illustrativ sind: der „keine Bedrohungen“-Schild, die zur Seite schwingenden Tore, der Scanner und sein Röntgenbild, die Zeitleiste der Signaturen und das Sitzungscookie. Dieser Beitrag erklärt das Risiko und was dagegen hilft, nicht, wie die Malware funktioniert. Das Video ist auf Englisch. Gemacht mit Shotloop, meiner kostenlosen Mac-App für Erklärvideos aus Code, korrigiert Shot für Shot.