Un nouveau malware se fait passer pour CrashReporter d'Apple, le composant chargé d'enregistrer les informations sur les plantages d'applications, pour voler les portefeuilles de crypto-monnaie et d'autres données des utilisateurs de macOS.
Les chercheurs de Jamf Threat Labs ont surnommé la menace CrashStealer, soulignant qu’elle a été observée pour la première fois début mai et que les attaques réelles ont commencé en juillet.
Même si les systèmes d'exploitation d'Apple sont considérés comme plus sécurisés que ceux de ses concurrents, l'affaire montre que les utilisateurs doivent rester vigilants.
Les logiciels malveillants surveillent environ 80 portefeuilles de crypto-monnaie et 14 gestionnaires de mots de passe
En donnant des détails techniques sur CrashStealer, Jamf souligne que l'infostealer est différent des autres car il est implémenté en C++ natif et crypte les données côté client.
« Il valide localement le mot de passe de connexion de la victime avant de commencer la collecte, collecte les données des navigateurs, des portefeuilles de crypto-monnaie, des gestionnaires de mots de passe et du trousseau, crypte les données collectées avec AES-GCM avant de les envoyer à l'aide de libcurl et assure la persistance en se copiant et en se re-signant. »expliquent les chercheurs.
À titre d'exemple, le rapport note que le malware affiche une fenêtre de mot de passe très similaire à l'invite d'autorisation légitime de macOS. Pour aller plus loin, il révèle également que CrashStealer valide le mot de passe localement avant qu'il ne soit collecté par des pirates.
L'objectif serait de voler diverses informations. Parmi les navigateurs Internet observés par le malware figurent Google Chrome, Brave, Edge, Opera, Opera GX, Vivaldi, Chromium et NAVER Whale.
De plus, environ 80 extensions de portefeuille sont également surveillées par CrashStealer, notamment :
- MétaMasque
- Fantôme
- Portefeuille Coinbase
- Portefeuille de confiance
- Lapin
- Portefeuille OKX
- Exode
- Keplr
- Solflare
- Sac à dos
« Une liste complète couvrant les écosystèmes Solana, Cosmos, TON, Sui, Aptos et NEO ; et 14 gestionnaires de mots de passe, dont 1Password, Bitwarden, LastPass, Dashlane, Keeper, KeePassXC, NordPass, Enpass et RoboForm. »
Selon les chercheurs, les données collectées sont ensuite enregistrées dans des répertoires cachés et cryptés individuellement. Enfin, le malware crée des fichiers ZIP et les exfiltre.
« CrashStealer est un infostealer macOS écrit en C++ natif qui combine des objectifs communs – tels que le vol d'informations d'identification, de portefeuilles de crypto-monnaie et de données de trousseau – avec une implémentation plus sophistiquée. »
Les experts donnent des conseils de sécurité
En ce qui concerne la protection, les experts de Malwarebytes recommandent aux utilisateurs d'être prudents lors des téléchargements de CrashReporter, notant que les outils de rapport de crash d'Apple sont déjà intégrés à macOS.
« Soyez prudent avec les installateurs protégés par un code PIN. Si une invitation à une réunion ou un outil de collaboration vous oblige à télécharger un logiciel à partir d'un domaine inconnu et à saisir un code PIN privé pour déverrouiller le programme d'installation, vérifiez la demande auprès de l'organisateur via un canal de confiance distinct. »
Ensuite, ils notent également qu'une demande de mot de passe juste après l'ouverture d'une application nouvelle/inconnue pourrait être un signe d'avertissement.
Enfin, ils recommandent aux utilisateurs d'éviter de conserver des portefeuilles et des gestionnaires de mots de passe de grande valeur sur le même ordinateur que celui utilisé pour les tâches quotidiennes.