El malware CrashStealer se camufla como herramienta de Apple

Los usuarios de Mac deben tener cuidado con el malware de macOS llamado CrashStealer, según Jamf Threat Labs. El malware se hace pasar por una herramienta de informes de fallos de Apple, y está destinado a robar todo tipo de información confidencial.

CrashStealer recopila datos del navegador, datos del administrador de contraseñas, extensiones de billetera de criptomonedas y datos de llaveros, y Jamf lo notó por primera vez que circulaba en una aplicación falsa notariada por Apple llamada Werkbit. Con la certificación, el malware no es detenido por Gatekeeper, que forma parte del sistema de seguridad macOS.

Se dirige a más de 80 extensiones de billetera de criptomonedas y 14 administradores de contraseñas como 1Password, LastPass y Dashlane. Busca en las carpetas Documento y Descargas para buscar información que valga la pena recopilar.

La aplicación parece legítima y utiliza un procedimiento de instalación típico de macOS para el software descargado a través de la web, con el proceso detallado en el sitio web de Jamf. Una aplicación falsa de CrashReporter. se descarga a través de Werkbit, y está destinada a hacerse pasar por el propio reportero de accidentes de Apple. Un usuario que haga clic en la aplicación probablemente la vería como una utilidad legítima de Apple.

Solicita acceso completo al disco «para la administración del sistema» y utiliza un mensaje de contraseña nativa que parece una solicitud de autorización genuina de macOS. La contraseña introducida se utiliza para acceder al llavero de inicio de sesión. Los datos recopilados se cifran con AES-256-GCM a través de CommonCrypto de Apple y se envían a la dirección IP del atacante.

Jamf dice que la forma en que se implementó CrashStealer «muestra un cuidado real», con los pasos de ocultación que lo diferencian de los infostrealers estándar. El malware fue reportado a Apple después de ser detectado por primera vez en mayo y encontrado activamente en uso en julio.

Apple revocó las credenciales de firma de la aplicación Werkbit, por lo que el vector de ataque específico descrito por Jamf se ha desactivado, pero el malware podría volver a aparecer. La versión original estaba cerrada detrás de un PIN requerido para la instalación, lo que sugiere que estaba dirigida a personas específicas.