{"id":33733,"date":"2026-10-22T17:11:52","date_gmt":"2026-10-22T15:11:52","guid":{"rendered":"https:\/\/msg-life.sk\/glossary\/xloader\/"},"modified":"2026-10-26T14:38:42","modified_gmt":"2026-10-26T13:38:42","slug":"xloader","status":"publish","type":"glossary_intl","link":"https:\/\/msg-life.sk\/de\/glossar\/cybersecurity\/angriffe-bedrohungen\/xloader\/","title":{"rendered":"XLoader"},"content":{"rendered":"

Was ist XLoader?<\/h2>\n

XLoader ist aus der Schadsoftware FormBook hervorgegangen, unter deren Namen die Familie teilweise noch gef\u00fchrt wird, und wird als Malware-as-a-Service betrieben. Die Mac-Version wurde in Crimeware-Foren zur Miete angeboten. Quellen beschreiben die Familie als Infostealer und Keylogger beziehungsweise als Infostealer und Botnet; sie existiert in der einen oder anderen Form seit 2015. Anders als der reine Windows-Vorg\u00e4nger zielt XLoader auf Windows und macOS<\/strong>. Laut MITRE ATT&CK ist XLoader f\u00fcr den Diebstahl von Daten aus Webbrowsern, E-Mail-Clients und FTP-Anwendungen bekannt.<\/p>\n

F\u00fcr macOS beschreibt eine Analyse die Verbreitung per E-Mail-Spam als wahrscheinlich; ein Anhang soll dabei als K\u00f6der in einer Phishing-Nachricht dienen. Als Verbreitungsweg ist Phishing dokumentiert: XLoader wurde als Anhang von Phishing-Mails<\/strong> zugestellt, darunter PDFs mit eingebetteten Links, Word- und Excel-Dateien sowie Archive mit EXE-Payloads. Gelangt XLoader auf einen Rechner eines Versicherers, kann die Schadsoftware Zugangsdaten aus Browsern stehlen; dokumentiert ist dies unter anderem f\u00fcr Chrome und Firefox auf macOS. Davon zu unterscheiden ist die gleichnamige sch\u00e4dliche Android-App XLoader for Android, die MITRE ATT&CK unter einem eigenen Eintrag f\u00fchrt.<\/p>\n

Wie funktioniert XLoader?<\/h2>\n

Zum Stehlen kann XLoader Zugangsdaten aus mehreren Webbrowsern und aus E-Mail-Clients abgreifen, Daten aus FTP-Programmen stehlen und zus\u00e4tzlich Tastatureingaben mitschneiden. Die beschriebenen macOS-Varianten zielen auf Chrome und Firefox: F\u00fcr Chrome versucht eine Variante, \u00fcber einen Zugriff auf den Schl\u00fcsselbund an die Anmeldeinformationen des Browsers zu gelangen, f\u00fcr Firefox liest eine Variante eine Datei im Firefox-Profilverzeichnis des Benutzers aus. Eine analysierte Variante schreibt und l\u00e4dt einen Benutzer-LaunchAgent, der auf eine Kopie in einem versteckten App-Bundle zeigt; Label und Namen sind randomisiert und \u00e4ndern sich von Ausf\u00fchrung zu Ausf\u00fchrung<\/strong>.<\/p>\n

Als Infostealer zielt XLoader darauf ab, sensible Informationen still und schnell zu finden und an einen von den Angreifern kontrollierten Server zu \u00fcbertragen. Die Kommunikation mit dem Command-and-Control-Server verschleiert XLoader durch eine Vielzahl von Scheinverbindungen<\/strong>, die den echten Server verbergen. Unter Windows hat XLoader bei lokaler Ausf\u00fchrung Office-Schwachstellen ausgenutzt, etwa CVE-2017-11882 und CVE-2018-0798.<\/p>\n

Woran erkenne ich XLoader?<\/h2>\n\n\n\n\n\n\n\n
Signal<\/th>\nWoran erkennbar<\/th>\n<\/tr>\n<\/thead>\n
Neue plist-Datei im Verzeichnis LaunchAgents des Benutzers<\/td>\nBei analysierten macOS-Varianten legt die Schadsoftware unter Library\/LaunchAgents des Benutzers eine plist-Datei mit zuf\u00e4lligem Namen ab.<\/td>\n<\/tr>\n
Zuf\u00e4llige Namen von LaunchAgent, versteckter App und ausf\u00fchrbarer Datei<\/td>\nLabel des LaunchAgents sowie Namen der versteckten App und der ausf\u00fchrbaren Datei \u00e4ndern sich bei einer analysierten macOS-Variante von Ausf\u00fchrung zu Ausf\u00fchrung.<\/td>\n<\/tr>\n
Abfrage des Chrome-Schl\u00fcsselbunds \u00fcber die Kommandozeile<\/td>\nEine analysierte macOS-Variante ruft den Befehl security find-generic-password mit dem Eintrag Chrome auf, um \u00fcber den Schl\u00fcsselbund an die Anmeldeinformationen von Chrome zu gelangen.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,400],"class_list":["post-33733","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-malware-apt"],"acf":{"card_description":"XLoader: vermietete Schadsoftware, die als Infostealer und Keylogger beschrieben wird und Windows sowie macOS betrifft.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Malware & APT","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"XLoader ist eine Malware-as-a-Service-Familie, die als Infostealer und Keylogger klassifiziert wird, gespeicherte Zugangsdaten aus Webbrowsern und E-Mail-Clients sowie Daten aus FTP-Anwendungen stiehlt und sowohl Windows als auch macOS angreift.","at_a_glance":[{"bullet":"Als Dienst vermietete Malware, beschrieben als Infostealer und Keylogger"},{"bullet":"Zielt auf Windows und macOS, der Vorg\u00e4nger FormBook nur auf Windows"},{"bullet":"Die Zustellung als Phishing-Anhang ist dokumentiert"}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Eine macOS-Version von XLoader war in einem Apple-Disk-Image mit dem Namen OfficeNote.dmg geb\u00fcndelt."},{"example":"Die Miete f\u00fcr die Mac-Version lag in Anzeigen bei 199 US-Dollar pro Monat oder 299 US-Dollar f\u00fcr drei Monate."},{"example":"In einer analysierten macOS-Variante scheint eine .jar-Datei als Anhang einer Phishing-Nachricht verteilt zu werden; sie ben\u00f6tigt die Java-Laufzeitumgebung und l\u00e4uft deshalb auf einer macOS-Installation nicht ohne Weiteres."},{"example":"Auf dem Mac eines Versicherers kann XLoader nach der dokumentierten macOS-Variante Zugangsdaten aus Chrome und Firefox stehlen."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33703,33731,33642,33637,33667,33705],"pillar_link":null,"sources":[{"publisher":"","name":"Detecting XLoader: macOS Malware Info Stealer & Keylogger","url":"https:\/\/www.sentinelone.com\/blog\/detecting-xloader-a-macos-malware-as-a-service-info-stealer-and-keylogger\/","doc_type":"2021","group":"used"},{"publisher":"","name":"XLoader, Software S1207 | MITRE ATT&CK\u00ae","url":"https:\/\/attack.mitre.org\/software\/S1207\/","doc_type":"2025","group":"used"},{"publisher":"","name":"XLoader\u2019s Latest Trick | New macOS Variant Disguised as Signed OfficeNote App","url":"https:\/\/www.sentinelone.com\/blog\/xloaders-latest-trick-new-macos-variant-disguised-as-signed-officenote-app\/","doc_type":"2024","group":"used"},{"publisher":"","name":"TrojanSpy.MacOS.XLOADER.A","url":"https:\/\/www.trendmicro.com\/vinfo\/us\/threat-encyclopedia\/malware\/trojanspy.macos.xloader.a","doc_type":"2023","group":"used"},{"publisher":"","name":"XLoader for Android, Software S0318 | MITRE ATT&CK\u00ae","url":"https:\/\/attack.mitre.org\/software\/S0318\/","doc_type":"2025","group":"used"},{"publisher":"","name":"They\u2019re coming for your data: What are infostealers and how do I stay safe?","url":"https:\/\/www.welivesecurity.com\/en\/malware\/theyre-coming-data-infostealers-how-stay-safe\/","doc_type":"2025","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-07"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t