macOS-Stealer-Malware ersetzte Ledger Live durch einen Klon zum Seed-Phishing

Moonlock Lab berichtete über Kampagnen, bei denen Infostealer-Malware für macOS die echte Ledger-Live-Anwendung löscht und eine nahezu identische Fälschung installiert. Laut Moonlock zeigt die gefälschte App die Meldung an, Ledger Live sei auf einen kritischen Fehler gestoßen, und fragt zur Kontowiederherstellung nach der 24-Wort-Wiederherstellungsphrase; alle Eingaben werden an einen vom Angreifer kontrollierten Server gesendet. BleepingComputer berichtet, dass Opfern einer Variante anschließend eine Meldung „App corrupted“ angezeigt wurde, was den Angreifern Zeit verschaffte, das Guthaben abzuziehen.

Moonlock schreibt die erste funktionierende Version dem Odyssey-Stealer eines als Rodrigo bekannten Akteurs zu, der seit März 2025 aktiv ist, und fand eine nahezu identische Phishing-Seite im Atomic macOS Stealer (AMOS). BleepingComputer beschreibt eine AMOS-Kampagne, die als DMG namens JandiInstaller.dmg verbreitet wurde und Gatekeeper umging, sowie ein separates, auf PyInstaller basierendes Sample, das Jamf Threat Labs fand und das die Phishing-Seite in einem gefälschten Ledger-Live-Fenster lud. Laut Moonlock werden verwandte Ledger-Live-Klone seit August 2024 verfolgt; frühere Versionen konnten nur Passwörter, Notizen und Wallet-Details stehlen, und die Erstinfektion beruht auf Social Engineering wie gecrackter Software, gefälschten Krypto-Tools oder bösartiger Werbung.

Die Kampagnen setzen voraus, dass bereits auf dem Mac laufende Malware die Anwendung ersetzt; die Quellen beschreiben keine Schwachstelle in Ledgers Geräten. Weder Moonlocks Bericht noch der Artikel von BleepingComputer enthält eine Stellungnahme von Ledger. BleepingComputer veröffentlichte seinen Bericht am 22. Mai 2025; Moonlocks Artikel auf seiner Website ist auf den 30. Mai 2025 datiert.