CrashStealer — это новая программа-крадец данных для macOS, которая маскируется под компонент CrashReporter от Apple, использует установщик, заверенный Apple, чтобы обойти Gatekeeper, обманом заставляет пользователей раскрыть свои пароли, а затем систематически выкрадывает данные из браузеров, менеджеров паролей, криптовалютных кошельков и секретов Keychain, после чего выводит их в виде пакетов, зашифрованных с помощью алгоритма AES.
Исследователи отслеживают развитие вредоносного ПО CrashStealer с мая 2026 года. Оно маскируется под компонент CrashReporter компании Apple, используя название CrashReporter.app. Кроме того, оно создаёт LaunchAgent с именем com.apple.crashreporter.helper и использует значок и метаданные легитимного инструмента, чтобы выглядеть как можно более достоверно.
Gatekeeper — своего рода «вышибала» macOS, проверяющий, безопасно ли приложение, прежде чем разрешить его запуск. При использовании нотариально заверенного установщика — то есть такого, который Apple проверила и признала приемлемым — Gatekeeper с большей вероятностью пропустит его, не вызвав подозрений. Наличие нотариального заверения не означает, что Apple намеренно одобрила вредоносное ПО. Это означает, что установщик прошел автоматические проверки Apple, а злоумышленники злоупотребили этим доверием.
Нотариально заверенный установщик под названием «Werkbit Setup» распространяется с поддельного сайта по продаже программного обеспечения, зарегистрированного в конце июня, и доступ к нему ограничен PIN-кодом (персональным идентификационным номером), что указывает на целевую кампанию, доступную только по приглашению.
При запуске вредоносная программа отображает поддельный запрос на ввод пароля macOS, который пользователи обычно ожидают увидеть при выполнении легитимной системной операции, требующей прав администратора. На самом деле вредоносная программа использует этот пароль для разблокировки «Брелока» пользователя, в котором хранятся пароли и другие конфиденциальные данные в зашифрованном хранилище паролей macOS.
Затем вредоносная программа похищает учетные данные и файлы cookie браузера, расширения криптовалютных кошельков, данные менеджера паролей, а также небольшие файлы из стандартных пользовательских каталогов. Похищенные данные шифруются и отправляются на сервер управления (C2).
CrashStealer служит напоминанием о том, что macOS по-прежнему находится в поле зрения злоумышленников, занимающихся кражей учетных данных. Функции нотаризации и Gatekeeper снижают многие виды рисков, но не избавляют от необходимости использовать многоуровневую систему защиты, соблюдать осторожность при работе с системой и постоянно отслеживать угрозы.
Как оставаться в безопасности
Есть несколько способов защитить себя от CrashStealer и других программ, похищающих личные данные.
- Скептически относитесь к загрузкам приложения «CrashReporter». Инструменты Apple для отправки отчетов о сбоях входят в состав macOS, поэтому вам никогда не понадобится скачивать отдельное приложение CrashReporter с сторонних сайтов.
- С осторожностью относитесь к установщикам, требующим ввода PIN-кода. Если приглашение на встречу или инструмент для совместной работы требует от вас загрузки программного обеспечения с незнакомого домена и ввода личного PIN-кода для разблокировки установщика, уточните этот запрос у организатора через отдельный надежный канал связи.
- Если сразу после запуска нового или незнакомого приложения — особенно если оно выдаёт себя за системный компонент — появляется запрос на ввод пароля, воспринимайте это как тревожный сигнал.
- Используйте надежное программное обеспечение для обеспечения безопасности, совместимое с macOS. Регулярно обновляйте его, а также саму операционную систему macOS.
- Распределите риски. По возможности избегайте хранения кошельков с криптовалютой на крупные суммы, хранилищ паролей и учетных данных для повседневного просмотра веб-страниц на одном и том же компьютере и в одном профиле пользователя.
Malwarebytes CrashStealer как MacOS.Stealer.Crash.
Мы не просто сообщаем об угрозах - мы их устраняем
Риски кибербезопасности не должны выходить за рамки заголовка. Загрузите Malwarebytes сегодня, чтобы предотвратить угрозы на своих устройствах.
