Jamf Threat Labs ha identificato una nuova campagna chiamata CrashStealer che prende di mira gli utenti Mac e punta a sottrarre dati sensibili da browser, wallet crypto ed estensioni, oltre a 14 password manager. Dopo la segnalazione, Apple ha revocato i certificati di firma usati dalle app malevole coinvolte nella catena di attacco.
L’aspetto più critico è che il malware veniva distribuito tramite un’app firmata con un Developer ID valido e notarizzata da Apple, quindi capace di superare gli avvisi standard di Gatekeeper. L’attacco però richiede comunque un’azione diretta dell’utente, che viene spinto a scaricare manualmente il file e a inserire la password del Mac.
CrashStealer colpisce macOS sfruttando app firmate e una falsa richiesta di autorizzazione
La campagna è stata individuata inizialmente a inizio maggio 2026 su VirusTotal, mentre i rilevamenti su Mac reali sono comparsi a inizio luglio 2026. Il primo stadio dell’attacco passa da un’app chiamata Werkbit, distribuita con firma valida e notarizzazione Apple, così da apparire legittima agli occhi del sistema.
Una volta avviata, l’app recupera istruzioni nascoste da un repository GitHub e scarica script offuscati da un dominio controllato dall’attaccante. Da qui viene ottenuto, rifirmato e lanciato il payload CrashStealer, confezionato in un file CrashReporter. dmg e installato in percorsi nascosti del sistema per garantire persistenza.
Il malware mostra poi una finestra che imita i prompt di autorizzazione di macOS e induce l’utente a inserire la password dell’account. Con quella credenziale, usa il comando legittimo dscl per verificare localmente la password, sbloccare il portachiavi di accesso del Mac e copiare il database login. keychain-db in una cartella temporanea nascosta.
- Distribuzione iniziale tramite Werkbit con Developer ID valido e notarizzazione Apple.
- Necessaria l’azione dell’utente: download manuale dell’app e inserimento della password macOS.
- Persistenza rilevata in directory nascoste, inclusa una copia sotto la cache di crashreporter.
- Richieste di accesso molto ampie: disco completo, Scrivania, Documenti, Download e unità rimovibili.
Browser, wallet crypto e password manager sono i bersagli principali di CrashStealer
L’analisi mostra che CrashStealer non si limita al portachiavi di macOS. Il trojan prende di mira anche i browser più diffusi, tra cui Chrome, Edge, Brave, Firefox, Opera e Vivaldi, raccogliendo profili, cookie, credenziali salvate ed estensioni installate.
La portata dell’attacco è particolarmente rilevante per chi gestisce asset digitali o usa strumenti di sicurezza centralizzati. Jamf indica infatti un impatto su circa 80 estensioni di wallet per criptovalute e su 14 password manager, fra cui anche soluzioni note come 1Password.
Per gli utenti Mac il punto pratico è semplice: se compare una richiesta improvvisa di password di sistema dopo l’avvio di un’app scaricata manualmente, soprattutto se collegata a presunti strumenti di lavoro o collaborazione, conviene interrompere subito l’operazione e verificare la provenienza del software.
- Browser presi di mira: Chrome, Edge, Brave, Firefox, Opera e Vivaldi.
- Dati raccolti: profili utente, cookie, login salvati ed estensioni.
- Impatto dichiarato su circa 80 wallet crypto in formato estensione.
- Coinvolti anche 14 password manager, incluso 1Password.
