Jamf Threat Labs a signalé la découverte d’un nouveau voleur d’informations sur Mac nommé CrashStealer, qui se fait passer pour le logiciel de rapport de crash d’Apple. Le malware a été repéré pour la première fois en mai 2026 lors de sa phase de développement, et les attaques actives ont été détectées début juillet 2026.
CrashStealer est conçu pour collecter des informations sensibles telles que les informations d’identification du navigateur, les données du gestionnaire de mots de passe et les détails du portefeuille de crypto-monnaie, y compris les données du trousseau de connexion Mac. De manière unique, il est codé en C++ natif, contrairement à de nombreux autres voleurs Mac qui utilisent AppleScript.
Le malware crypte les fichiers qu’il collecte avant de les transmettre à un serveur contrôlé par un attaquant. Pour échapper à la détection, il intègre des fonctionnalités anti-débogage, compliquant les efforts de recherche. L’attaque est lancée via une image disque intitulée « Werkbit Setup ».
Cette image disque contient un programme d’installation raffiné qui demande aux utilisateurs de cliquer avec le bouton droit et de sélectionner « Ouvrir » pour contourner un avertissement de sécurité Mac. Le programme d’installation possède un identifiant de développeur Apple valide et une notarisation, lui permettant de passer les mesures de sécurité Gatekeeper d’Apple lors du premier lancement.
Le site Web distribuant Werkbit Setup exigeait que les utilisateurs saisissent un code PIN de réunion, potentiellement pour contrôler l’accès aux personnes ciblées. Lors de l’exécution, Werkbit Setup se connecte à GitHub, télécharge un script et installe une deuxième image disque appelée CrashReporter.dmg dans un dossier temporaire caché. Le malware utilise le nom CrashReporter avec l’identifiant de bundle com.apple.crashreporter, qui imite les composants du système Apple.
Apple utilise des processus Gatekeeper et de notarisation pour atténuer les risques posés par les applications téléchargées. Cependant, Jamf a averti que les applications nuisibles peuvent contourner la détection, surtout si elles utilisent des installateurs fiables pour fournir ensuite différentes charges utiles. Suite à l’identification d’une activité malveillante, Jamf a signalé à Apple l’équipe de développeurs derrière Werkbit Setup, mais les détails concernant le nombre d’infections restent confidentiels.
Après le lancement, CrashStealer demande aux utilisateurs un mot de passe d’une manière qui imite les invites légitimes de macOS. Le malware vérifie localement le mot de passe saisi et, s’il est correct, peut déverrouiller le trousseau de connexion, permettant ainsi une acquisition ultérieure de données.
CrashStealer recherche dans le stockage du Mac les données des navigateurs basés sur Chromium, Safari, Firefox et diverses extensions de portefeuille de crypto-monnaie, notamment MetaMask et Phantom. Ciblant plus de 80 extensions de portefeuille et 14 gestionnaires de mots de passe, il utilise également un outil de recherche de fichiers pour rechercher des documents sensibles tout en évitant les installateurs et les fichiers multimédias plus volumineux.
Les données collectées sont stockées dans des dossiers cachés et cryptées à l’aide d’AES-256-GCM avant d’être emballées dans des archives ZIP cachées pour être téléchargées. De plus, CrashStealer s’installe dans le dossier de cache de la bibliothèque et crée un LaunchAgent pour la persistance lors de la connexion de l’utilisateur.
Il est conseillé aux utilisateurs de faire preuve de prudence lors du téléchargement des programmes d’installation et d’examiner attentivement toutes les invites de mot de passe qui surviennent de manière inattendue. Les recommandations pour prévenir ce malware incluent l’utilisation du Mac App Store, la confirmation minutieuse des sources des développeurs et la prudence avec les installateurs nécessitant des actions explicites de l’utilisateur.
