O Jamf Threat Labs relatou a descoberta de um novo ladrão de informações do Mac chamado CrashStealer, que se disfarça como o software de relatório de falhas da Apple. O malware foi rastreado pela primeira vez em maio de 2026, durante sua fase de desenvolvimento, com ataques ativos detectados no início de julho de 2026.
CrashStealer foi projetado para coletar informações confidenciais, como credenciais do navegador, dados do gerenciador de senhas e detalhes da carteira de criptomoeda, incluindo dados do chaveiro de login do Mac. Exclusivamente, ele é codificado em C++ nativo, em contraste com muitos outros ladrões de Mac que utilizam AppleScript.
O malware criptografa os arquivos coletados antes de transmiti-los a um servidor controlado pelo invasor. Para evitar a detecção, incorpora recursos anti-depuração, complicando os esforços de pesquisa. O ataque é iniciado por meio de uma imagem de disco chamada “Werkbit Setup”.
Esta imagem de disco contém um instalador sofisticado que instrui os usuários a clicar com o botão direito e selecionar “Abrir” para ignorar um aviso de segurança do Mac. O instalador possui um Apple Developer ID válido e reconhecimento de firma, permitindo que ele passe pelas medidas de segurança do Gatekeeper da Apple na primeira inicialização.
O site que distribui o Werkbit Setup exigia que os usuários inserissem um PIN de reunião, potencialmente para controlar o acesso aos indivíduos-alvo. Após a execução, o Werkbit Setup se conecta ao GitHub, baixa um script e instala uma segunda imagem de disco chamada CrashReporter.dmg em uma pasta temporária oculta. O malware usa o nome CrashReporter com o identificador de pacote com.apple.crashreporter, que imita os componentes do sistema Apple.
A Apple emprega processos de Gatekeeper e reconhecimento de firma para mitigar os riscos representados por aplicativos baixados. No entanto, Jamf alertou que aplicativos prejudiciais podem ignorar a detecção, especialmente se usarem instaladores confiáveis para entregar diferentes cargas posteriormente. Após a identificação de atividades maliciosas, Jamf relatou a equipe de desenvolvedores por trás do Werkbit Setup à Apple, mas detalhes sobre o número de infecções permanecem não divulgados.
Após o lançamento, o CrashStealer solicita uma senha aos usuários de uma maneira que imita os prompts legítimos do macOS. O malware verifica localmente a senha inserida e, se correta, pode desbloquear o chaveiro de login, permitindo posterior aquisição de dados.
CrashStealer pesquisa no armazenamento do Mac dados de navegadores baseados em Chromium, Safari, Firefox e várias extensões de carteira de criptomoeda, incluindo MetaMask e Phantom. Visando mais de 80 extensões de carteira e 14 gerenciadores de senhas, ele também usa uma ferramenta de busca de arquivos para buscar documentos confidenciais, evitando instaladores e arquivos de mídia maiores.
Os dados coletados são armazenados em pastas ocultas e criptografados usando AES-256-GCM antes de serem empacotados em arquivos ZIP ocultos para upload. Além disso, o CrashStealer se instala na pasta de cache da biblioteca e cria um LaunchAgent para persistência durante o login do usuário.
Os usuários são aconselhados a ter cuidado ao baixar instaladores e examinar minuciosamente quaisquer solicitações de senha que surjam inesperadamente. As recomendações para evitar esse malware incluem utilizar a Mac App Store, confirmar minuciosamente as fontes dos desenvolvedores e ser cauteloso com instaladores que exigem ações explícitas do usuário.
