Seit einigen Jahren treibt eine unter dem Namen Pirrit bekannte Schadsoftware ihr Unwesen auf dem einen oder anderen Mac. Die Malware spioniert unter anderem die Nutzer aus und sorgt darüber hinaus im Browser für Umleitungen zu möglicherweise gefährlichen Webseiten. Jetzt könnte sie sich eine unrühmliche Auszeichnung verdient haben: Beobachtungen von Experten zufolge ist sie der erste Schädling, welcher nativ auf Macs mit Apple Silicon läuft.


GoSearch22 enthält M1-Variante von Pirrit
Der bekannte Sicherheitsforscher Patrick Wardle entdeckte die M1-Malware in einer App namens GoSearch22. Diese läuft nativ auf der ARM-Architektur von Apples hauseigenem Prozessor, der Mac mini M1, MacBook Air M1 und MacBook Pro M1 antreibt. Es handelt sich demzufolge nicht um einen Schädling, welcher für Intel-CPUs kompiliert ist und dank Rosetta 2 auch auf Apple Silicon ausgeführt wird. "Die Angreifer sind also jetzt dazu übergegangen, Schadsoftware für mehrere Architekturen zu erstellen", schreibt Wardle in einem Blogbeitrag auf Objective-See.

Malware-Entwickler passen sich schnell an
Der Sicherheitsforscher hält das Auftauchen der M1-Malware aus zwei Gründen für äußerst bemerkenswert. Zum einen zeige der Vorgang, dass die Entwickler von Schadsoftware sich schnell an Veränderungen anpassten, welche Apple bei Hardware und Software vornehme. Darüber hinaus habe man festgestellt, dass die in GoSearch22 enthaltene Apple-Silicon-Variante von Pirrit derzeit nur von den wenigsten statischen Virenscannern erkannt werde. Diese seien zwar in der Lage, die Intel-Version aufzuspüren, versagten aber bei der für M1 kompilierten App. Das sei sehr beunruhigend, so Wardle.

Apple widerruft Entwickler-Zertifikat
Die M1-Version von GoSearch22 und damit Pirrit wurde offenbar von einem Entwickler erstellt, welcher über ein von Apple ausgestelltes Developer-Zertifikat verfügte. Dieses hat der kalifornische Konzern mittlerweile zurückgezogen, so dass die App nicht mehr auf einem Mac ausgeführt wird. Patrick Wardle bedauert das, denn dadurch werden ihm zufolge weitere Analysen unmöglich gemacht. Man könne beispielsweise jetzt nicht mehr ergründen, ob Apple die Anwendung notarisiert habe oder der Entwickler einen Weg fand, die Sicherheitsmechanismen des Unternehmens zu umgehen. Der Sicherheitsforscher rechnet fest damit, dass bereits etliche M1-Macs mit der Malware infiziert sind.