Novo Malware CrashStealer Mascarado de Ferramenta da Apple Ameaça Usuários de macOS

O CrashStealer, o novo infostealer para macOS, opera disfarçado da ferramenta nativa CrashReporter.app da Apple. Ele chega ao sistema via um dropper assinado e notarizado, o "Werkbit Setup", o que permite contornar o Gatekeeper, sistema anti-malware do macOS, sem emitir avisos. Seu objetivo principal é roubar dados sensíveis, utilizando um falso prompt de senha para acessar o Keychain do usuário, onde guarda senhas de apps, Wi-Fi e certificados.

Além do Keychain, o malware foca em credenciais de navegadores baseados em Chromium e Firefox, mais de 80 extensões de carteiras de criptomoedas como MetaMask e Coinbase Wallet, e 14 gerenciadores de senhas como 1Password e LastPass. Antes da exfiltração, os dados são criptografados com AES-256-GCM, empacotados em arquivos ZIP ocultos e enviados para o servidor de comando e controle. Essa robustez na criptografia e sua implementação em C++ nativo o diferenciam de outros infostealers como Atomic, MacSync e Phexia, como apontado pela Jamf.

O CrashStealer representa uma ameaça significativa para usuários de macOS, especialmente aqueles que lidam com dados financeiros ou informações sensíveis. Sua capacidade de se passar por uma ferramenta legítima da Apple, aliada à engenharia social do falso prompt de senha, torna-o perigoso até para usuários mais experientes. A sofisticação da criptografia de dados roubados indica um esforço coordenado para evadir detecção e extrair o máximo de valor das vítimas.

Empresas e indivíduos no ecossistema Apple precisam estar mais vigilantes do que nunca. A crescente complexidade de malwares como o CrashStealer e outros recentes para macOS, como o PamStealer e o GasLight, exige a adoção de práticas de segurança rigorosas, incluindo verificação de downloads, atualizações constantes e o uso de soluções de segurança multicamadas para proteger contra ataques cada vez mais furtivos.