Malware tauscht die Google-Suchergebnisse gegen Bing-Ergebnisse

App Stores, Sicherheitsmassnahmen und Restriktionen machen es Malware zunehmend schwer, auf den Rechner oder das Smartphone zu gelangen. Wenn es trotzdem klappt, entsteht häufig grosser Schaden – für Nutzende oder immer öfter auch für Werbenetzwerke. Jetzt ist eine neue Malware für macOS aufgetaucht, die sich bislang nur durch ein kurioses Verhalten zeigt: Sie tauscht Google-Suchergebnisse stillschweigend gegen Bing-Ergebnisse aus.

Malware kann auf viele Arten Schaden anrichten: Geräte unbrauchbar machen, Daten löschen, Lösegeldzahlungen erpressen oder Zugangsdaten abgreifen. Das ist allerdings aufwendig und wenig lukrativ. Deswegen konzentrieren sich viele Entwickler darauf, eigene Werbebanner einzuschleusen – in erfolgreichen Fällen mehrere Millionen Dollar pro Monat.

Die Sicherheitsforscher von AiroAV haben nun eine neue macOS-Malware entdeckt, deren Verhalten zunächst rätselhaft wirkt: Sie nistet sich über ein aufwendiges Prozedere im Safari-Browser ein und manipuliert die Google-Suchergebnisse. Dabei werden keine verdächtigen Links eingefügt – die Ergebnisse werden einfach durch jene von Bing ersetzt. Optische Anpassungen sorgen dafür, dass das kaum auffällt.

Technisch läuft das über einen iframe: Die Bing-Suchergebnisse werden direkt in die Google-Websuche eingebunden und ersetzen dort die eigentlichen Algorithmus-Ergebnisse. Wer sehr genau hinschaut, merkt es vielleicht an Qualitätsunterschieden oder fehlenden Google-Elementen – aber ohne gezielten Vergleich bleibt der Austausch unsichtbar.

Was die Entwickler damit bezwecken, ist unklar. Vermutlich ist es ein Test dafür, wie sich künftig andere Inhalte – etwa Links auf Werbeseiten – einschleusen lassen. AiroAV hat bisher keine Hinweise gefunden, dass neben Bing-Ergebnissen weitere Inhalte eingefügt wurden. Um den Austausch überhaupt zu ermöglichen, greift sich die Malware die macOS-Zugangsdaten und installiert ein eigenes Root-Zertifikat.

Betroffen ist derzeit nur Safari unter macOS – die Methode dürfte aber auf jedem anderen Betriebssystem genauso funktionieren. Apple untersucht bereits, wie sich solche Angriffe künftig verhindern lassen.