CrashStealer, le malware mac se cache derrière une fausse application

À retenir :
– CrashStealer est un infostealer ciblant macOS.
– Werkbit est la fausse application utilisée pour installer CrashStealer.
– Le malware utilise un identifiant légitime pour contourner les protections d’Apple.
– Il collecte des données sensibles comme des mots de passe et informations de navigateurs.
– Les utilisateurs doivent être méfiants face aux demandes d’accès au mot de passe après l’ouverture d’applications inconnues.

---

**CrashStealer : un malware sur macOS se cache derrière une fausse application Apple**

Un nouveau logiciel malveillant a récemment attiré l’attention des chercheurs en sécurité, et il cible spécifiquement les utilisateurs de macOS. Nommé CrashStealer, cet infostealer est conçu pour subtiliser des mots de passe, des données de navigateur, des informations stockées dans le trousseau et même des identifiants liés aux portefeuilles de cryptomonnaies. Ce programme malveillant se présente comme un composant d’Apple en relation avec les rapports de plantage.

### Une application notarizée comme point d’entrée

Selon les analyses menées par Jamf Threat Labs, l’attaque débute avec Werkbit, une fausse application destinée à la réunion ou à la collaboration. Cette application était distribuée via un site dédié et bénéficiait d’un identifiant développeur valide ainsi que d’une notarisation par Apple. Cela lui permettait de traverser le système Gatekeeper sans alerte habituelle liée à un développeur non identifié. Toutefois, Apple a depuis annulé les certificats associés à cette application.

Une fois que l’utilisateur lançait Werkbit, ce dernier téléchargeait des instructions depuis GitHub avant d’exécuter CrashStealer. Il est important de noter qu’aucun scénario zéro-clic n’a été rencontré : la victime devait justement installer l’application, l’ouvrir puis entrer son mot de passe Mac dans une fenêtre d’autorisation trompeuse.

### Un faux CrashReporter pour siphonner les données sensibles

Le malware utilise le nom CrashReporter ainsi qu’une icône semblable à celles utilisées par Apple pour paraître légitime. Après avoir vérifié le mot de passe sur la machine locale, il s’en sert pour accéder au trousseau de connexion. CrashStealer cible ensuite plusieurs profils de navigateurs tels que Chrome, Edge, Brave, Firefox et Opera. De plus, il vise divers gestionnaires de mots de passe ainsi que des extensions conçues pour gérer les portefeuilles crypto.

Les informations collectées sont chiffrées puis regroupées dans des archives dissimulées afin d’échapper aux détections éventuelles. De plus, le malware installe un LaunchAgent qui lui permet de redémarrer automatiquement à chaque nouvelle connexion.

### Prudence face aux limites de la notarisation

Cette campagne souligne clairement que même une application signée ou notarizée ne garantit pas nécessairement sa sécurité. Toute demande inattendue concernant un mot de passe après l’ouverture d’un logiciel inconnu doit alerter l’utilisateur – surtout si cette demande implique un accès total au disque ou prétend nécessiter l’installation d’un outil déjà intégré dans macOS. Il est donc crucial d’adopter une attitude prudente face aux applications inconnues et leurs demandes suspectes.