Un nuovo malware per macOS, denominato CrashStealer, sta colpendo gli utenti Apple camuffandosi da strumento di reporting dei crash del sistema. L'estrazione di dati sensibili avviene attraverso un processo sofisticato che mira a ingannare sia l'utente finale che i sistemi di sicurezza integrati nel sistema operativo.

L'inganno del dropper notarizzato

La pericolosità di CrashStealer risiede nel suo metodo di distribuzione. Secondo l'analisi condotta da Jamf, il payload viene veicolato tramite un installer denominato "Werkbit Setup" che è stato notarizzato da Apple. Questa firma digitale permette al malware di superare senza alcun avviso il controllo di Gatekeeper, l'anti-malware nativo di macOS, conferendo all'applicazione una falsa aura di legittimità.

Una volta eseguito, il malware si installa come CrashReporter.app e crea un LaunchAgent chiamato com.apple.crashreporter.helper. Per massimizzare l'inganno, utilizza icone e metadati identici a quelli dei veri strumenti di sistema Apple.

Accesso al Keychain e furto di credenziali

Il malware non si limita a nascondersi, ma interagisce attivamente con l'utente. CrashStealer visualizza un falso prompt di richiesta password per convincere la vittima a fornire i privilegi di amministratore. Una volta ottenuta la password, il malware può sbloccare l'intero Keychain di macOS, accedendo a chiavi crittografiche, certificati e password salvate in Safari.

L'analisi tecnica evidenzia che il malware punta a obiettivi specifici:

  • Browser: credenziali e cookie di Firefox e browser basati su Chromium.
  • Crypto Wallet: oltre 80 estensioni di portafogli, tra cui MetaMask, Phantom e Coinbase Wallet.
  • Password Manager: 14 software diversi, tra cui Bitwarden, LastPass e 1Password.
  • File utente: documenti e download, escludendo i file multimediali pesanti per non rallentare l'esfiltrazione.

Crittografia e-exfiltrazione dei dati

A differenza di molti infostealer rudimentali, CrashStealer adotta standard di sicurezza elevati per proteggere i dati rubati prima dell'invio. Le informazioni vengono cifrate con l'algoritmo AES-256-GCM, impacchettate in archivi ZIP nascosti e caricate su un server di comando e controllo (C2) tramite la libreria libcurl.

Prospettive di sicurezza

L'emergere di CrashStealer sottolinea una tendenza preoccupante: l'uso di certificati legittimi per bypassare le difese. Questo scenario si inserisce in un contesto di crescenti attacchi verso l'ecosistema Apple, che ha recentemente affrontato problemi legati a furti di segreti industriali e vulnerabilità zero-day sfruttate per spionaggio aziendale.

Impatto sul mercato italiano

Per i professionisti IT e gli utenti aziendali in Italia, questo attacco evidenzia l'insufficienza di fare affidamento solo sulla notarizzazione di Apple. È fondamentale implementare soluzioni di Endpoint Detection and Response (EDR) che monitorino i comportamenti anomali dei processi, come la creazione di LaunchAgent non autorizzati o richieste sospette di password per applicazioni a terzi.