Dziś zespół Jamf Threat Labs ostrzegł przed CrashStealerem, szkodliwym oprogramowaniem na macOS, które udaje systemowy komponent Apple CrashReporter i może dobrać się na twoim Macu do jednych z najwrażliwszych danych zapisanych w systemie.
- Badacze z Jamf Threat Labs ustalili, że malware podszywało się pod CrashReporter, czyli prawdziwy element Apple odpowiedzialny za raportowanie awarii.
- Potwierdzili też, że wyświetlało fałszywy monit z prośbą o hasło do macOS.
- Wpisane hasło było najpierw weryfikowane lokalnie, a później używane do odblokowania systemowego pęku kluczy.
- Z ustaleń Jamf Threat Labs wynika, że malware wykradało zawartość macOS Keychain, hasła, dane z przeglądarek, portfele kryptowalut, a także inne poświadczenia i wrażliwe informacje.
- Jamf Threat Labs ustaliło również, że za dystrybucję odpowiadał dropper o nazwie Werkbit.
- Sam Werkbit, jak potwierdzono, udawał narzędzie do współpracy i spotkań online.
- Strona tej aplikacji sprawiała wiarygodne wrażenie, choć domenę zarejestrowano całkiem niedawno.
- Atakujący użyli instalatora notaryzowanego przez Apple, dzięki czemu złośliwa aplikacja przechodziła kontrolę Gatekeepera.
- Do pobrania pliku potrzebny był PIN, co utrudniało analizę próbki i ograniczało dostęp przypadkowym osobom, w tym badaczom bezpieczeństwa.
- Jamf Threat Labs potwierdziło też, że malware napisano w natynym C++, a wykradzione dane szyfrowano przy użyciu AES-GCM przed wysłaniem ich na serwer kontrolowany przez atakujących.
Według Jamf Threat Labs CrashStealer jest wymierzony w użytkowników Apple. Jest przy tym dość podobny do innych stealerów dla macOS, takich jak Atomic Stealer czy MacSync. Z opisu badaczy wynika, że po uruchomieniu fałszywe okno prosi o hasło do systemu, a jeśli wpiszesz poprawne dane, malware może odblokować macOS Keychain i wyciągnąć przechowywane tam poufne informacje.
To akurat jest szczególnie groźne, bo na komputerze mogą być zapisane loginy do usług internetowych, sieci Wi‑Fi, aplikacji firm trzecich, a czasem również certyfikaty i inne dane, które pozwalają przejmować kolejne konta.
Z ustaleń Jamf Threat Labs wynika, że żeby ten mechanizm zadziałał, ofiara musiała uruchomić fałszywą aplikację i podać poprawne hasło do macOS. Nawet jeśli na co dzień ufasz wbudowanym zabezpieczeniom systemu, notaryzowany instalator mógł łatwo uśpić czujność.
Według Jamf Threat Labs to kolejny przykład szerszego trendu: w 2024 roku aktywność malware na macOS rośnie, szczególnie jeśli chodzi o stealery. Zespół zgłosił złośliwy identyfikator dewelopera do Apple, a firma miała już go unieważnić.
Na ten moment wciąż brakuje publicznych informacji o skali kampanii. Nie wiadomo, kto za nią stoi, ilu było poszkodowanych, gdzie prowadzono ataki ani jaki dokładnie był początkowy pretekst, którym nakłaniano ofiary do instalacji fałszywej aplikacji. Pozostaje więc czekać na pełniejszy obraz całej kampanii.
