Les chercheurs de Jamf ont identifié un nouveau malware, appelé Voleur de crashqui semble être l'outil de rapport de crash de macOS. Le but des cybercriminels est de voler des identifiants et des crypto-monnaies. Un échantillon a été découvert en mai sur VirusTotal, mais il s'agissait d'une version préliminaire. La première attaque a été détectée début juillet.
Description de CrashStealer
Les chercheurs ont découvert que l'accès initial se faisait via une image DMG contenant leInstallateur de l'application Werkbit (une supposée plateforme de collaboration). On ne sait pas comment il est distribué (peut-être via un phishing qui mène au faux site), mais il s'agit d'un exécutable signé et approuvé par Apple, il passe donc les contrôles Gatekeeper sans afficher d'avertissements de danger.
Au démarrage, on vous demande le mot de passe de votre compte avec une invite similaire à celle légitime. Cela vous permet d'accéder au Porte-clés de l’utilisateur et donc aux identifiants, jetons, clés cryptées et autres données sensibles. CrashStealer peut également voler les informations d'identification et les cookies des navigateurs Firefox et Chromium, des fichiers de divers répertoires et des données de 14 gestionnaires de mots de passe. Il peut également accéder aux extensions de navigateur pour 80 portefeuilles de crypto-monnaie.
Les données sont ensuite cryptées avec l'algorithme AES-256-GCM, placées dans une archive ZIP cachée et envoyées au serveur C2 (commande et contrôle). Diverses techniques ont été utilisées pour entraver l'analyse du code. Les fonctionnalités sont similaires à celles d'autres infostealers bien connus pour macOS, mais il utilise un mécanisme cryptographique différent et est écrit en langage C++ (au lieu du langage Objective-C plus répandu).
Les experts de Malwarebytes fournissent des conseils utiles. Évitez de télécharger de prétendus outils Crash Reporting, car ils sont déjà inclus dans macOS. Vous devez évidemment prêter une attention particulière aux demandes de mot de passe.