Negli ultimi mesi i malware per macOS si sono evoluti rapidamente e CrashStealer rappresenta un esempio chiaro di come i criminali informatici puntino a superare le difese native di Apple. Questo info stealer per macOS è progettato per rubare dati sensibili dai sistemi compromessi, con un approccio più sofisticato rispetto a molte famiglie simili basate su AppleScript o wrapper Objective-C.
CrashStealer è scritto in C++ nativo e integra una catena di consegna studiata per ingannare gli utenti e superare i controlli di Gatekeeper.
La distribuzione avviene tramite un dropper firmato e notarizzato da Apple, confezionato come immagine disco con un’applicazione chiamata Werkbit app. Poiché sia il file DMG sia il binario risultano notarizzati e associati a un Developer ID valido, l’installazione può apparire affidabile e non bloccare l’esecuzione. Un dettaglio interessante è che il download non è pubblico per tutti: l’accesso può essere vincolato a un PIN di riunione, così l’installer viene servito solo a chi dispone del codice corretto, riducendo l’esposizione e rendendo più difficile l’analisi su larga scala.
Dopo il montaggio dell’immagine disco, la vittima viene istruita a fare click destro e selezionare “Apri”, una tecnica tipica di social engineering per aggirare gli avvisi. Una volta avviato, il componente eseguibile contatta un repository su GitHub per recuperare un file che contiene istruzioni utili a costruire un comando curl. Da qui viene scaricato uno script shell che agisce da downloader e prepara un ulteriore payload, salvandolo nella cartella tmp e avviando la fase successiva dell’infezione.
CrashStealer stabilisce persistenza tramite LaunchAgent, implementa tecniche di resistenza all’analisi e mostra un prompt password per validare localmente la credenziale. Dopo la verifica, sblocca il login keychain e procede con la raccolta dati da browser basati su Chromium come Chrome, Brave, Edge, Opera, Vivaldi e altri, oltre a numerose estensioni di wallet crypto e dati di password manager diffusi. Vengono inoltre presi file da Documents e Downloads. I dati raccolti vengono compressi in un archivio ZIP, cifrati lato client con AES-GCM e poi esfiltrati verso un server remoto usando libcurl.