Kyberbezpečnostní výzkumníci upozornili na nový informační zloděj pro macOS s názvem CrashStealer, který dokáže sbírat citlivá data z kompromitovaných systémů. Na rozdíl od jiných informačních zlodějů, kteří jsou postaveni na dropperech v AppleScriptu nebo na obalech založených na Objective-C, je CrashStealer podle Jamf Threat Labs implementován v nativním C++.
„Ověří přihlašovací heslo oběti lokálně, než začne sbírat, sbírá široce napříč prohlížeči, kryptoměnovými peněženkami, správci hesel a klíčenkou, to, co posbírá, šifruje pomocí AES-GCM, než to exfiltruje přes libcurl, a přetrvává tím, že se zkopíruje a znovu podepíše,“ uvedl bezpečnostní výzkumník Thijs Xhaflaire ve zprávě.
Jak se malware dostane do systému
CrashStealer je údajně distribuován prostřednictvím podepsaného a Applem notarizovaného dropperu, jenž je šířen jako soubor bitové kopie disku pojmenovaný „Werkbit.app“. Protože bitová kopie disku i binární soubor jsou notarizované a nesou platné vývojářské ID („Emil Grigorov (WWB7JA7AQV)“), projde kontrolami Gatekeeperu. Samotná bitová kopie disku pochází z domény werkbit[.]io, zaregistrované v červnu 2026. Zajímavým zvratem je, že stažení je podmíněno PIN kódem ze schůzky, což znamená, že instalátor je podán pouze těm návštěvníkům webu, kteří přijdou se správným kódem, nikoli komukoli. Objev dalších domén a sdílené backendové infrastruktury napojené na tutéž operaci naznačuje, že CrashStealer je součástí větší, víceplatformní kampaně.
Jakmile je bitová kopie disku připojena, zobrazí uživateli instalační obrazovku, která jej instruuje, aby na aplikaci klikl pravým tlačítkem a zvolil „Otevřít“, čímž ho přiměje ji spustit. Po spuštění spustitelný soubor „veltod“ kontaktuje repozitář na GitHubu, aby získal soubor pojmenovaný „sys.cache“. Ten je pak použit k extrakci příkazu curl a stažení shellového skriptu, jenž funguje jako downloader ke stažení a přípravě dalšího škodlivého kódu („CrashReporter.dmg“) a uloží jej do adresáře /tmp.
Co malware krade
Malware po spuštění vytvoří perzistenci jako LaunchAgent, brání se analýze, zobrazí výzvu k zadání hesla a zadaný přihlašovací údaj ověří lokálně, odemkne přihlašovací klíčenku pomocí ověřeného hesla, vypíše nainstalované bezpečnostní a analytické nástroje, a teprve poté přistoupí ke sběru dat prohlížečů, rozšíření kryptoměnových peněženek, dat správců hesel a materiálu z klíčenky.
Mezi sbíraná data patří přihlašovací údaje z prohlížečů rodiny Chromium včetně Google Chrome, Brave, Microsoft Edge, Opera a Opera GX, Vivaldi, Chromium a Naver Whale; zhruba 80 rozšíření kryptoměnových peněženek včetně MetaMask, Phantom, Coinbase, Trust Wallet, Rabby, OKX Wallet, Exodus, Keplr, Solflare a Backpack; 14 správců hesel včetně 1Password, Bitwarden, LastPass, Dashlane, Keeper, KeePassXC, NordPass, Enpass a RoboForm; a soubory z adresářů ~/Documents a ~/Downloads. Posbíraná data jsou pak zabalena do archivu ZIP a exfiltrována na server ovládaný útočníkem (179.43.166[.]242).
„Doručovací řetězec CrashStealeru vykazuje skutečnou péči: místo holé, nepodepsané návnady operátoři útok předsazují podepsaným a notarizovaným dropperem, jenž projde Gatekeeperem, než potichu stáhne, znovu podepíše a spustí škodlivý kód,“ uvedla společnost Jamf. „Od běžného davu zlodějů jej neodlišuje ani tak to, co sbírá, jako spíše to, jak je postaven: šifrování posbíraných souborů na straně klienta pomocí AES-GCM a důraz na odolnost proti analýze skrze zplošťování toku řízení, šifrované řetězce a vrstvené techniky proti ladění.“
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
