Nordkoreas neue macOS Backdoor verwendet gefälschte Fehlermeldungen, um AI Security Tools zu täuschen

Sicherheitsforscher von SentinelOne haben ein neues macOS-Backdoor namens Gaslight entdeckt, das eine bisher nicht im Feld gesehene Technik einsetzt: Prompt-Injection-Payloads werden direkt in das Malware-Binary eingebettet, um KI-gestützte Sicherheitsanalysetools zu verwirren, wie BleepingComputer berichtet. Das Implantat wird mit hoher Wahrscheinlichkeit nordkoreanischen Bedrohungsakteuren zugeschrieben, was durch Apples XProtect bestätigt wird, das es unter MACOS_BONZAI_COBUCH taggt – einer Familie, die mit operationen aus der DVRK in Verbindung steht.

Der Prompt-Injection-Payload ist 3,5 KB großer, erfundener „System"-Nachrichten, die im Binary eingebettet sind – 38 Meldungen, die Token-Ablaufwarnungen, Memory-Kill-Signale, Redis-Fehler, Speicherplatzmeldungen und Build-Fehler simulieren. Sie sind in Markdown formatiert, abgegrenzt mit {{DATA}}-Tokens, die typische Prompt-Gerüste von LLMs nachahmen. Das Ziel ist, einen KI-gestützten Triage-Agenten glauben zu lassen, seine Sitzung sei beschädigt, und die Analyse abzubrechen, bevor er den bösartigen Code erreicht.

Warum diese Technik wichtig ist

Sicherheitsoperationszentren setzen zunehmend KI-Agenten ein, um Alarme zu triagieren, Binaries zusammenzufassen und verdächtiges Verhalten zu markieren – Tools, die Analysten zwar schneller machen, aber eine neue Angriffsfläche schaffen. Gaslight ist der erste öffentlich dokumentierte Fall, bei dem ein Bedrohungsakteur gezielt Evasion für diese Ebene entwickelt hat. Jemand auf der Lazarus-Seite der DVRK-Operation hat bewussten Aufwand betrieben, 38 gefälschte Fehlermeldungen zu erstellen – nicht um eine Sandbox zu täuschen, sondern um die KI zu täuschen, die die Sandbox-Ausgabe liest.

Die Auswirkungen gehen über dieses spezifische Sample hinaus. Wenn Prompt Injection einen KI-Triage-Agenten dazu bringen kann, die Analyse eines schädlichen Binaries abzubrechen, müssen Verteidiger ihre KI-Pipelines genauso härten wie ihre Sandboxen – mit adversarial Testing, Output-Validierung und Human-in-the-Loop-Prüfungen für hochzuverlässige Befunde.

Vollständiger Funktionsumfang

Über die KI-Evasion-Ebene hinaus ist Gaslight ein vollwertiges Backdoor, das in Rust geschrieben ist. Es kommuniziert über die Telegram Bot API mit einer Polling-Schleife für Operator-Befehle, mit AES-GCM-Verschlüsselung und frischen Nonces pro Nachricht. Es pinnt TLS-Zertifikate an benutzerdefinierte Trust-Anchors, was die Standard-Proxy-Inspektion umgeht, und respektiert bei der Netzwerkdurchquerung die Proxy-Einstellungen des Unternehmens.

Das Implantat setzt ein gestaffeltes Python-3.10.18-Interpreter ein, das ein 6,6 KB großes Base64-codiertes Skript zur Informationssammlung ausführt, das Folgendes abzielt: Browserdaten von Chrome, Brave, Firefox und Safari; Terminal-Befehlshistorien; Snapshots laufender Prozesse; Anwendungsinventare; System-Hardware- und Software-Profile; sowie Rohkopien der macOS login.keychain-db-Datenbank. Der Operator interagiert über eine interaktive Shell mit Befehlen zum Hochladen von Dateien, zum Beenden von Prozessen und zur Bereinigung des Implantats.

Persistenz und operative Sicherheit

Gaslight etabliert Persistenz über einen LaunchAgent mit dem Label com.apple.system.services.activity – bewusst die Apple-Namespace imitierend, eine dokumentierte Taktik aus früheren nordkoreanischen macOS-Kampagnen. Die Selbstredaktion seines Telegram-Bot-Tokens aus der Laufzeitausgabe bedeutet, dass das Erfassen von Prozesslogs oder Crash-Artefakten keinerlei nutzbare C2-Infrastrukturdaten für Verteidiger liefert.

SentinelOne hat nicht offengelegt, wie Gaslight verteilt wird oder welche Branchen angegriffen werden, aber die Kombination aus Keychain-Zugriff, Browser-Credential-Diebstahl und Shell-Zugriff positioniert es eher als Cyber-Spionage-Tool denn als Vorstufe von Ransomware.