Jamf Threat Labs meldt vandaag dat het een nieuwe malwarecampagne op het spoor is gekomen die macOS aanvalt. De malware heet CrashStealer en doet zich voor als Apples legitieme CrashReporter-proces, een truc die moet zorgen dat het betrouwbaar oogt en minder snel argwaan wekt. Volgens de onderzoekers is CrashStealer gemaakt om gevoelige gegevens te stelen, waaronder wachtwoorden, inhoud uit de macOS-sleutelhanger, browserdata, cryptowallets en andere inloggegevens. Op een geïnfecteerde Mac laat de campagne volgens Jamf Threat Labs geen duidelijke zichtbare sporen achter, maar de schade kan een stuk verder gaan dan een paar buitgemaakte opgeslagen wachtwoorden.
Toch is updaten hier gewoon verstandig.
Volgens Jamf Threat Labs bevat CrashStealer het volgende:
- Het vermomt zich als CrashReporter. Daardoor lijkt het op het eerste gezicht op een normaal Apple-proces, en precies dat maakt het verraderlijk.
- De verspreiding loopt via een dropper-app met de naam Werkbit. Die app presenteert zich als samenwerkings- of vergadersoftware. Daarbij hoorde volgens Jamf Threat Labs ook een website die pas kort geleden was geregistreerd.
- De download zat achter een pincode. Dat wijst er volgens Jamf Threat Labs op dat de verspreiding mogelijk gerichter was opgezet, en tegelijk lastiger te analyseren voor beveiligingsonderzoekers.
- De installer was door Apple genotariseerd. Daardoor kon de kwaadaardige app Gatekeeper-controles passeren en legitiem overkomen. Misbruik van notarization is volgens Jamf Threat Labs een groeiend probleem, juist omdat veel gebruikers ervan uitgaan dat zo’n app dan wel veilig zal zijn.
- Er wordt een neppe macOS-wachtwoordprompt getoond. Jamf Threat Labs zegt dat het programma het ingevoerde wachtwoord lokaal controleert, waardoor dat venster overtuigend genoeg oogt om mensen erin te laten trappen.
- Ontgrendeling van de sleutelhanger hoort er ook bij. Klopt het ingevoerde wachtwoord, dan gebruikt CrashStealer het volgens Jamf Threat Labs om de sleutelhanger van de gebruiker te openen en de inhoud eruit te halen.
- De datadiefstal is breed opgezet. Behalve sleutelhangergegevens richt CrashStealer zich volgens Jamf Threat Labs ook op opgeslagen browserdata, extra accountgegevens en cryptowallets. Dat kan uitlopen op overgenomen accounts, financieel verlies en identiteitsproblemen die lang blijven doorsudderen. Sla je veel wachtwoorden op in macOS of rechtstreeks in de browser, dan ben je extra kwetsbaar.
- De malware is geschreven in native C++-code. Daarmee wijkt CrashStealer volgens Jamf Threat Labs af van veel alledaagse Mac-bedreigingen, die vaak steunen op veelgebruikte AppleScript-gebaseerde droppers.
- Ook gebruikt het AES-GCM-versleuteling. Die functie, Advanced Encryption Standard in Galois/Counter Mode (AES-GCM), zorgt er volgens Jamf Threat Labs voor dat de gestolen gegevens eerst worden versleuteld voordat ze naar servers van de aanvallers worden verstuurd.
Jamf Threat Labs plaatst CrashStealer in een bredere ontwikkeling: macOS-malware neemt toe, en vooral infostealers duiken steeds vaker op. Aanvallers richten hun aandacht nadrukkelijker op Apple-systemen en maken daarbij volgens de onderzoekers gebruik van misbruik rond notarization en van professionele malwaremodellen die steeds meer weghebben van dienstverlening.
De malafide Developer ID is door Jamf Threat Labs bij Apple gemeld, waarna Apple die heeft ingetrokken. Mogelijk komt er binnenkort ook meer duidelijkheid over deze campagne. Er is volgens Jamf Threat Labs op dit moment nog geen publieke toeschrijving, en ook over het aantal slachtoffers, de geografische reikwijdte en de precieze manier waarop mensen naar de neppe Werkbit-site zijn gelokt, is nog niets bekend.
Voor Mac-gebruikers is de les vrij simpel: vertrouw niet blind op een Apple-achtig proces of op een genotariseerde installer, wees extra voorzichtig met onverwachte softwaredownloads, en vul je macOS-wachtwoord alleen in als je zeker weet dat de prompt echt van het systeem zelf komt.
