Дослідники виявили новий інфостілер (викрадач даних) CrashStealer, який атакує користувачів macOS, видаючи себе за штатний засіб Apple для звітування про збої. Мета шкідника — зібрати паролі, записи звʼязки ключів (Keychain), облікові дані браузерів і гаманці криптовалют та переправити їх на підконтрольний зловмисникам сервер.

Про загрозу повідомили в компанії Jamf — фахівці її підрозділу Threat Labs описали CrashStealer як інфостілер, написаний мовою C++. Уперше зразок потрапив у поле зору дослідників після підозрілого завантаження на сервіс VirusTotal ще в травні, коли шкідник, імовірно, перебував на стадії розробки. На початку липня почали фіксувати активні зараження — це означає, що проєкт перейшов від розробки до реального застосування.

Як діє CrashStealer і на що звертати увагу

Штатний засіб звітування Apple зʼявляється, коли програма несподівано завершує роботу або аварійно закривається: у спливному вікні система пропонує надіслати звіт про помилку. Саме цей знайомий сценарій й імітує шкідник.

Потрапивши на macOS, CrashStealer видає себе за системний застосунок Apple: він використовує назви CrashReporter.dmg (для встановлення) та CrashReporter.app (для пакета застосунку), ідентифікатор com.apple.crashreporter і копіює оригінальну іконку.

Далі шкідник намагається розблокувати звʼязку ключів (Keychain), показуючи підроблений запит пароля, який імітує справжній запит автентифікації macOS. Введені дані програма спершу перевіряє локально, а вже потім переходить до головної мети — краде облікові записи з браузерів, встановлених менеджерів паролів (серед цілей — 1Password, Bitwarden і LastPass) та понад 80 розширень для криптогаманців. Зібрані дані шифруються за алгоритмом AES-256-GCM і переправляються на сервер зловмисників.

Чому підроблений застосунок обходить захист Apple

Деякі інфостілери, зокрема CrashStealer, потрапляють на Mac у вигляді образів дисків. Файли з розширенням .dmg — стандартний спосіб встановлення програм у macOS: користувач відкриває образ, перетягує програму до теки «Програми» й запускає встановлення.

Особливість цього випадку в тому, що головний .dmg-файл, який поширювався під назвою «Werkbit Setup» і містив у собі CrashReporter.dmg, — це підписаний і нотаризований Apple дропер, замаскований під образ диска. Оскільки дропер має дійсний ідентифікатор розробника (Developer ID) і прикріплений квиток нотаризації, він безперешкодно проходить перевірку Gatekeeper під час першого запуску — на відміну від корисного навантаження, яке він встановлює.

Інакше кажучи, .dmg-файл має вигляд легітимної надійної утиліти, і жодних явних тривожних ознак немає. За даними дослідників, дропер поширювався під виглядом платформи для відеоконференцій: у соцмережах користувачі раніше повідомляли, що їх просили встановити Werkbit нібито для співбесід на сумнівні вакансії.

Оновлення. Apple вже відкликала сертифікат розробника, яким був підписаний Werkbit, тож конкретний вектор атаки, описаний Jamf, наразі знешкоджено. Утім, дослідники не виключають, що шкідник може зʼявитися знову в іншому вигляді.

Інші способи, якими інфостілери потрапляють на Mac

Ще один поширений вектор атак на macOS — ClickFix. Ця техніка спирається на соціальну інженерію: користувача підштовхують самостійно ввести й виконати команду в терміналі, зазвичай через інструкції на кшталт «скопіювати та вставити», щоб нібито «виправити» проблему на компʼютері або пройти CAPTCHA.

Окремий тривожний напрям — використання ШІ. Як описали дослідники Huntress, інфостілер Atomic macOS Stealer (AMOS) поширювали через отруєні розмови з ШІ-чатботами: за допомогою SEO-маніпуляцій підроблені діалоги ChatGPT і Grok виводили в топ пошукової видачі, і вони підводили жертв до виконання шкідливих команд у терміналі. Небезпека в тому, що така атака не потребує ані підозрілих завантажень, ані попереджень системи безпеки — достатньо пошукового запиту, кліку й копіювання команди.

Штучний інтелект змінює ландшафт загроз

Колись macOS та компʼютери Apple загалом вважали майже невразливими до більшості видів шкідливого ПЗ — це твердження свого часу навіть було частиною маркетингу Apple. Сьогодні це далеко від правди.

Дедалі більшу роль відіграє ШІ. Його зловживають, щоб писати шкідливий код, удосконалювати фішингові листи й кампанії, а нещодавно ШІ став основою першої повністю агентної атаки програми-вимагача. Компанія Sysdig зафіксувала операцію, яку назвала JADEPUFFER: увесь ланцюг атаки — від початкового доступу до шифрування даних — виконала велика мовна модель без постійного втручання людини. Не виключено, що вже за кілька місяців або років традиційні вектори атак на macOS поступляться місцем загрозам, повʼязаним зі ШІ.

Три звички, що блокують більшість загроз

Наразі є три звички, які допоможуть уникнути таких загроз, як CrashStealer:

1. Завжди перевіряйте джерело .dmg. Ззовні неможливо достеменно знати, що міститься в .dmg-пакеті. Якщо ви завантажуєте зламане чи піратське ПЗ, ризик запустити шкідник на власному компʼютері дуже високий.
2. Перевіряйте запити пароля. Попередження та запити Gatekeeper існують не просто так, тож ігнорувати їх не варто. Якщо на Mac зʼявляється несподіване спливне вікно чи сповіщення, варто бути обережним, перш ніж вводити пароль. Наприклад, застосунку VPN пароль може знадобитися для оновлення — але якщо його раптово запитує невідомий системний процес під час звичайного перегляду сайтів, це може бути ознакою зараження.
3. Оновлюйте macOS. Багато хто відкладає оновлення, щоб воно не переривало роботу чи відпочинок, й ігнорує підказки системи та сповіщення App Store. Проте такі оновлення часто містять виправлення помилок, які посилюють захист — не лише самого пристрою, а й даних на ньому.

Ця стаття CrashStealer: новий інфостілер для macOS маскується під системний засіб звітування Apple раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня