Varianten van een Trojaans paard voor Mac OS X die bitcoins van Mac-gebruikers stelen zijn op de bekende downloadsites Download.com en MacUpdate.com aangetroffen. Dat laat SecureMac weten, dat maandag al voor de malware genaamd CoinThief waarschuwde.

De malware werd in eerste instantie op het ontwikkelaarsplatform GitHub aangetroffen, maar blijkt ook via de populaire downloadsites te worden verspreid. Op deze sites doet CoinThief zich voor als "Bitcoin Ticker TTM for Mac" en "Litecoin Ticker." Dit zijn legitieme apps die ook via de Mac App Store worden aangeboden, maar de versies daar bevatten geen malware voor zover bekend.

Een van de apps zou 365 keer via MacUpdate.com zijn gedownload. Zodra gebruikers de kwaadaardige app installeren wordt er ook stilletjes een kwaadaardige extensie voor Google Chrome en Apple Safari geïnstalleerd. Deze extensie monitort het browserverkeer verkeer, om zo inloggegevens voor bitcoinportemonnees en populaire bitcoinsites te onderscheppen. Bitcoinportemonnees maken het mogelijk om transacties met bitcoins uit te voeren.

Een slachtoffer van de malware liet op Reddit weten hoe criminelen via de app 20 bitcoins van hem wisten te stelen. Met de huidige wisselkoers hebben die een waarde van ruim 10.000 euro.