Jamf Threat Labs ha segnalato la scoperta di un nuovo ladro di informazioni per Mac chiamato CrashStealer, che si maschera da software di segnalazione degli arresti anomali di Apple. Il malware è stato monitorato per la prima volta nel maggio 2026 durante la fase di sviluppo, con attacchi attivi rilevati all’inizio di luglio 2026.
CrashStealer è progettato per raccogliere informazioni sensibili come credenziali del browser, dati del gestore password e dettagli del portafoglio di criptovaluta, inclusi i dati dal portachiavi di accesso del Mac. In modo univoco, è codificato in C++ nativo, a differenza di molti altri ladri di Mac che utilizzano AppleScript.
Il malware crittografa i file raccolti prima di trasmetterli a un server controllato dagli aggressori. Per eludere il rilevamento, incorpora funzionalità anti-debug, complicando gli sforzi di ricerca. L’attacco viene avviato tramite un’immagine disco denominata “Werkbit Setup”.
Questa immagine del disco contiene un programma di installazione ottimizzato che indica agli utenti di fare clic con il pulsante destro del mouse e selezionare “Apri” per ignorare un avviso di sicurezza del Mac. L’installatore possiede un ID sviluppatore Apple valido e un’autenticazione autenticata, che gli consentono di superare le misure di sicurezza Gatekeeper di Apple al primo avvio.
Il sito web che distribuiva Werkbit Setup richiedeva agli utenti di inserire un PIN della riunione, potenzialmente per controllare l’accesso alle persone target. Al momento dell’esecuzione, Werkbit Setup si connette a GitHub, scarica uno script e installa una seconda immagine del disco chiamata CrashReporter.dmg in una cartella temporanea nascosta. Il malware utilizza il nome CrashReporter con l’identificatore del bundle com.apple.crashreporter, che imita i componenti del sistema Apple.
Apple utilizza processi di gatekeeper e di autenticazione per mitigare i rischi posti dalle applicazioni scaricate. Tuttavia, Jamf ha avvertito che le applicazioni dannose possono aggirare il rilevamento, soprattutto se utilizzano programmi di installazione attendibili per fornire successivamente payload diversi. In seguito all’identificazione di attività dannose, Jamf ha segnalato ad Apple il team di sviluppatori dietro Werkbit Setup, ma i dettagli relativi al numero di infezioni rimangono non divulgati.
Dopo l’avvio, CrashStealer richiede agli utenti una password in modo da imitare le richieste legittime di macOS. Il malware verifica localmente la password inserita e, se corretta, può sbloccare il portachiavi di accesso, consentendo un’ulteriore acquisizione di dati.
CrashStealer cerca nello spazio di archiviazione del Mac i dati dei browser basati su Chromium, Safari, Firefox e varie estensioni del portafoglio di criptovaluta, tra cui MetaMask e Phantom. Prende di mira oltre 80 estensioni di portafoglio e 14 gestori di password, utilizza anche uno strumento di ricerca di file per cercare documenti sensibili evitando programmi di installazione e file multimediali più grandi.
I dati raccolti vengono archiviati in cartelle nascoste e crittografati utilizzando AES-256-GCM prima di essere inseriti in archivi ZIP nascosti per il caricamento. Inoltre, CrashStealer si installa nella cartella della cache della libreria e crea un LaunchAgent per la persistenza durante l’accesso dell’utente.
Si consiglia agli utenti di prestare attenzione durante il download dei programmi di installazione e di esaminare attentamente eventuali richieste di password che si presentano inaspettatamente. I consigli per prevenire questo malware includono l’utilizzo del Mac App Store, la conferma approfondita delle fonti degli sviluppatori e l’attenzione agli installatori che richiedono azioni esplicite da parte dell’utente.
