Un nuevo malware para macOS llamado CrashStealer suplanta a la herramienta legítima de informes de fallos de Apple para robar credenciales, datos del llavero y monederos de criptomonedas. Investigadores de seguridad de Jamf comenzaron a rastrear el malware en mayo, cuando aún estaba en desarrollo, y observaron su uso en ataques a principios de julio.
CrashStealer cuenta con capacidades típicas de un infostealer, enfocándose en gestores de contraseñas y más de 80 extensiones de monederos de criptomonedas. El binario del malware se hace pasar por un componente del sistema de Apple adoptando el nombre 'CrashReporter.app', para evadir el escrutinio de los usuarios y posiblemente de las herramientas de seguridad.
Además del nombre, el malware crea un LaunchAgent llamado 'com.apple.crashreporter.helper' y utiliza el icono y los metadatos de la herramienta legítima para parecerse lo máximo posible. Según los investigadores de Jamf, la carga útil se distribuye a través de un instalador firmado y notarizado por Apple ('Werkbit Setup'), lo que le permite eludir Gatekeeper, el antivirus integrado de macOS, sin mostrar advertencias.
Al ejecutarse, el malware muestra un falso mensaje de contraseña de macOS para convencer al usuario de que está autorizando una operación legítima del sistema que requiere privilegios de administrador. Esta contraseña puede desbloquear el llavero del usuario, que contiene secretos almacenados localmente. Cuando se proporciona la contraseña, el malware la valida localmente usando 'dscl'. Si es incorrecta, CrashStealer devuelve un error de autenticación, solicitando al usuario que la escriba de nuevo.
Además de los datos del llavero, CrashStealer también se dirige a credenciales y cookies de navegadores basados en Chromium y Firefox, 80 extensiones de monederos de criptomonedas (incluyendo MetaMask, Phantom, Coinbase Wallet, Trust Wallet, Rabby, Exodus, Keplr y Solflare), 14 gestores de contraseñas (como 1Password, Bitwarden, LastPass, Dashlane, Keeper, KeePassXC, NordPass, Enpass y RoboForm) y archivos de directorios de usuario como Documentos y Descargas, omitiendo intencionalmente archivos multimedia grandes, instaladores y directorios del sistema.
Antes de exfiltrar los datos robados, CrashStealer los cifra utilizando el algoritmo AES-256-GCM, un método inusualmente robusto para este tipo de operación, los empaqueta en archivos ZIP ocultos y los sube al servidor de comando y control (C2) usando libcurl. Los investigadores de Jamf señalan que, a pesar de la superposición en objetivos con otras familias de infostealers (como Atomic, MacSync y Phexia), CrashStealer se distingue por su mecanismo de cifrado del lado del cliente y su implementación nativa en C++.
Jamf no compartió detalles sobre el método exacto de distribución inicial de CrashStealer, pero señaló que la carga útil de primera etapa (Werkbit Setup) está alojada en un sitio de software falso registrado a finales de junio. La descarga de la carga útil está restringida mediante un PIN de reunión, lo que indica una campaña limitada a visitantes que proporcionen el código correcto. Los investigadores afirman que la campaña de CrashStealer es una operación cuidadosa centrada en el sigilo, utilizando un instalador firmado y notarizado y un payload que se re-firma para persistencia. El proceso de re-firma reescribe los datos de la firma de código en el binario, lo que hace que el archivo tenga un hash diferente aunque el código permanezca intacto.
Deja una respuesta