CrashStealer se vydává za systémový nástroj Applu

Jak se do Macu dostane

CrashStealer je infostealer napsaný v C++, který Jamf Threat Labs zachytil na začátku července 2026 a veřejně popsal 13. a 14. července . Malware napodobuje nástroj Applu pro hlášení pádů systému. Jeho binární soubor se jmenuje CrashReporter.app a používá podobnou ikonu i metadata, aby působil důvěryhodně .

První fázi útoku tvoří aplikace Werkbit. Ta byla podepsaná platným Developer ID spojeným se jménem „Emil Grigorov“ a zároveň prošla procesem notářského ověření Applu . Gatekeeper ji proto považoval za důvěryhodnou a nezobrazil obvyklé varování o neznámém vývojáři .

Útok ale stále vyžaduje aktivitu uživatele: oběť musí Werkbit ručně stáhnout a otevřít. Poté skript na pozadí stáhne skutečný payload CrashStealeru .

Co CrashStealer hledá

Podle analýzy Jamfu malware cílí mimo jiné na:

• přihlašovací údaje z prohlížečů Chrome, Firefox, Edge, Brave, Opera a Vivaldi ;
• přibližně 14 správců hesel, včetně 1Password ;
• zhruba 80 rozšíření pro kryptoměnové peněženky a lokální soubory peněženek ;
• data z macOS Keychain a systémová hesla .

Ověření hesla a další techniky

CrashStealer zobrazí falešné systémové dialogové okno napodobující výzvu Applu k zadání přihlašovacího hesla. Zadané heslo následně ověří přímo v zařízení, ještě než začne shromažďovat a odesílat další data . Útočník tak získá větší jistotu, že obdržené údaje jsou použitelné.

Ukradené soubory malware před odesláním šifruje algoritmem AES-GCM, což může ztížit odhalení prostřednictvím síťové komunikace . Zároveň se snaží v systému udržet a skrývat: kopíruje se do umístění ~/Library/Caches/com.apple.crashreporter/, vytváří LaunchAgent com.apple.crashreporter.helper a po infekci zobrazuje přesvědčivou falešnou obrazovku hlášení pádu . Požadavek na oprávnění Full Disk Access mu může umožnit přístup k širšímu okruhu souborů .

Apple po upozornění od Jamfu zneplatnil podpisový certifikát spojený s aplikací Werkbit .

PamStealer zneužívá Script Editor a API pro přihlašování

Falešný Maccy jako návnada

PamStealer je dvoufázový infostealer napsaný v jazyce Rust, který Jamf zveřejnil 2. července 2026 . Název odkazuje na jeho hlavní techniku: využití rozhraní PAM (Pluggable Authentication Modules), tedy modulárního systému macOS pro ověřování uživatelů .

Malware se šíří prostřednictvím domén podobných webu legitimního správce schránky Maccy, například maccyapp[.]com . Oběť si stáhne podvodný obraz disku, v němž se nachází zkompilovaný soubor AppleScript s příponou .scpt. Návod ji následně vybídne, aby soubor otevřela v aplikaci Script Editor a stiskla Command-R .

Script Editor je důvěryhodná systémová aplikace. Jeho použitím se podle Jamfu obchází ochrany spojené s atributem com.apple.quarantine, takže uživatel nemusí vidět obvyklé varování Gatekeeperu . I zde je však rozhodující sociální inženýrství: škodlivý kód se spustí až poté, co uživatel provede požadované kroky.

Jaká data PamStealer krade

Druhá fáze útoku, napsaná v Rustu, se zaměřuje na:

• přihlašovací a lokální administrátorská hesla macOS ;
• uložené přihlašovací údaje a cookies z prohlížečů ;
• obsah macOS Keychain ;
• soubory ethereum peněženek a SSH klíče ;
• obsah schránky .

Heslo ověřuje přes vlastní autentizační mechanismus macOS

PamStealer může uživateli zobrazit dialog napodobující standardní systémovou výzvu, například „Maccy chce provést změny“ . Po zadání hesla ho malware neuloží bez další kontroly. Místo toho zavolá funkce PAM pam_start a pam_authenticate, aby heslo ověřil proti autentizačnímu systému macOS .

Pokud je heslo správné, PamStealer ho odešle a pokračuje ve sběru dalších údajů. Při chybném zadání může vyzvat uživatele znovu nebo útok ukončit . Tento postup může zanechat méně forenzních stop než běžné keyloggery či nástroje, které se pokoušejí číst data z paměti, protože malware používá legitimní systémové API pro ověření .

Co nové kampaně znamenají pro bezpečnost Maců

Platný podpis není zárukou bezpečí

CrashStealer ukazuje, že útočníci mohou škodlivou aplikaci opatřit platným podpisem vývojáře a získat také schválení v notářském procesu Applu . Gatekeeper a notarizace představují důležité bezpečnostní vrstvy, nejde však o úplnou kontrolu kódu. Pokud se škodlivá aplikace dostane přes schvalovací proces, může Apple reagovat zneplatněním certifikátu až poté, co je kampaň odhalena. Podobné zneužití platných podpisů se objevilo i u dřívějších hrozeb, například MacSync a rodiny Odyssey Stealer .

Důvěryhodné systémové aplikace mohou být zneužity

PamStealer zase upozorňuje na riziko spojené se spouštěním skriptů prostřednictvím důvěryhodných nástrojů. Script Editor sám o sobě není škodlivý, ale uživatel může být podvodným návodem přiměn k tomu, aby v něm spustil nebezpečný AppleScript. Jamf tento mechanismus popisuje jako známou, dosud neopravenou mezeru v ochranách macOS .

Infostealery cílí na celý digitální účet uživatele

Moderní malware už nehledá jen jedno heslo. Kombinuje přístup k prohlížečům, správcům hesel, Keychainu, kryptoměnovým peněženkám, SSH klíčům a schránce. Microsoft v únoru 2026 upozornil také na širší trend útoků typu „ClickFix“, které pomocí sociálního inženýrství lákají uživatele ke spuštění malwaru a následně kradou hesla z prohlížečů, kryptoměnová aktiva, cloudové údaje i vývojářské přístupové klíče .

Nejdůležitější praktická obrana zůstává poměrně jednoduchá: aplikace pro macOS stahovat pouze z ověřených zdrojů, pečlivě kontrolovat adresu webu a nespouštět v Script Editoru soubory podle pokynů neznámé stránky. Pokud uživatel zadal heslo do podezřelého dialogu nebo instaloval aplikaci z neoficiálního zdroje, měl by zařízení prověřit a z bezpečného zařízení změnit dotčená hesla.

Závěr

CrashStealer a PamStealer představují posun od prostého zaznamenávání toho, co uživatel napíše, k přesnějšímu a tiššímu získávání použitelných přihlašovacích údajů. Jeden malware spoléhá na notarizovaný dropper a napodobení nástroje Applu, druhý na falešný software a zneužití důvěryhodného Script Editoru. Společným jmenovatelem je ověření hesla přímo na napadeném Macu, které útočníkům zvyšuje šanci, že ukradené údaje skutečně využijí .

CrashStealer se vydává za systémový nástroj Applu

Jak se do Macu dostane

CrashStealer je infostealer napsaný v C++, který Jamf Threat Labs zachytil na začátku července 2026 a veřejně popsal 13. a 14. července . Malware napodobuje nástroj Applu pro hlášení pádů systému. Jeho binární soubor se jmenuje CrashReporter.app a používá podobnou ikonu i metadata, aby působil důvěryhodně .

První fázi útoku tvoří aplikace Werkbit. Ta byla podepsaná platným Developer ID spojeným se jménem „Emil Grigorov“ a zároveň prošla procesem notářského ověření Applu . Gatekeeper ji proto považoval za důvěryhodnou a nezobrazil obvyklé varování o neznámém vývojáři .

Útok ale stále vyžaduje aktivitu uživatele: oběť musí Werkbit ručně stáhnout a otevřít. Poté skript na pozadí stáhne skutečný payload CrashStealeru .

Co CrashStealer hledá

Podle analýzy Jamfu malware cílí mimo jiné na:

• přihlašovací údaje z prohlížečů Chrome, Firefox, Edge, Brave, Opera a Vivaldi ;
• přibližně 14 správců hesel, včetně 1Password ;
• zhruba 80 rozšíření pro kryptoměnové peněženky a lokální soubory peněženek ;
• data z macOS Keychain a systémová hesla .

Ověření hesla a další techniky

CrashStealer zobrazí falešné systémové dialogové okno napodobující výzvu Applu k zadání přihlašovacího hesla. Zadané heslo následně ověří přímo v zařízení, ještě než začne shromažďovat a odesílat další data . Útočník tak získá větší jistotu, že obdržené údaje jsou použitelné.

Ukradené soubory malware před odesláním šifruje algoritmem AES-GCM, což může ztížit odhalení prostřednictvím síťové komunikace . Zároveň se snaží v systému udržet a skrývat: kopíruje se do umístění ~/Library/Caches/com.apple.crashreporter/, vytváří LaunchAgent com.apple.crashreporter.helper a po infekci zobrazuje přesvědčivou falešnou obrazovku hlášení pádu . Požadavek na oprávnění Full Disk Access mu může umožnit přístup k širšímu okruhu souborů .

Apple po upozornění od Jamfu zneplatnil podpisový certifikát spojený s aplikací Werkbit .

PamStealer zneužívá Script Editor a API pro přihlašování

Falešný Maccy jako návnada

PamStealer je dvoufázový infostealer napsaný v jazyce Rust, který Jamf zveřejnil 2. července 2026 . Název odkazuje na jeho hlavní techniku: využití rozhraní PAM (Pluggable Authentication Modules), tedy modulárního systému macOS pro ověřování uživatelů .

Malware se šíří prostřednictvím domén podobných webu legitimního správce schránky Maccy, například maccyapp[.]com . Oběť si stáhne podvodný obraz disku, v němž se nachází zkompilovaný soubor AppleScript s příponou .scpt. Návod ji následně vybídne, aby soubor otevřela v aplikaci Script Editor a stiskla Command-R .

Script Editor je důvěryhodná systémová aplikace. Jeho použitím se podle Jamfu obchází ochrany spojené s atributem com.apple.quarantine, takže uživatel nemusí vidět obvyklé varování Gatekeeperu . I zde je však rozhodující sociální inženýrství: škodlivý kód se spustí až poté, co uživatel provede požadované kroky.

Jaká data PamStealer krade

Druhá fáze útoku, napsaná v Rustu, se zaměřuje na:

• přihlašovací a lokální administrátorská hesla macOS ;
• uložené přihlašovací údaje a cookies z prohlížečů ;
• obsah macOS Keychain ;
• soubory ethereum peněženek a SSH klíče ;
• obsah schránky .

Heslo ověřuje přes vlastní autentizační mechanismus macOS

PamStealer může uživateli zobrazit dialog napodobující standardní systémovou výzvu, například „Maccy chce provést změny“ . Po zadání hesla ho malware neuloží bez další kontroly. Místo toho zavolá funkce PAM pam_start a pam_authenticate, aby heslo ověřil proti autentizačnímu systému macOS .

Pokud je heslo správné, PamStealer ho odešle a pokračuje ve sběru dalších údajů. Při chybném zadání může vyzvat uživatele znovu nebo útok ukončit . Tento postup může zanechat méně forenzních stop než běžné keyloggery či nástroje, které se pokoušejí číst data z paměti, protože malware používá legitimní systémové API pro ověření .

Co nové kampaně znamenají pro bezpečnost Maců

Platný podpis není zárukou bezpečí

CrashStealer ukazuje, že útočníci mohou škodlivou aplikaci opatřit platným podpisem vývojáře a získat také schválení v notářském procesu Applu . Gatekeeper a notarizace představují důležité bezpečnostní vrstvy, nejde však o úplnou kontrolu kódu. Pokud se škodlivá aplikace dostane přes schvalovací proces, může Apple reagovat zneplatněním certifikátu až poté, co je kampaň odhalena. Podobné zneužití platných podpisů se objevilo i u dřívějších hrozeb, například MacSync a rodiny Odyssey Stealer .

Důvěryhodné systémové aplikace mohou být zneužity

PamStealer zase upozorňuje na riziko spojené se spouštěním skriptů prostřednictvím důvěryhodných nástrojů. Script Editor sám o sobě není škodlivý, ale uživatel může být podvodným návodem přiměn k tomu, aby v něm spustil nebezpečný AppleScript. Jamf tento mechanismus popisuje jako známou, dosud neopravenou mezeru v ochranách macOS .

Infostealery cílí na celý digitální účet uživatele

Moderní malware už nehledá jen jedno heslo. Kombinuje přístup k prohlížečům, správcům hesel, Keychainu, kryptoměnovým peněženkám, SSH klíčům a schránce. Microsoft v únoru 2026 upozornil také na širší trend útoků typu „ClickFix“, které pomocí sociálního inženýrství lákají uživatele ke spuštění malwaru a následně kradou hesla z prohlížečů, kryptoměnová aktiva, cloudové údaje i vývojářské přístupové klíče .

Nejdůležitější praktická obrana zůstává poměrně jednoduchá: aplikace pro macOS stahovat pouze z ověřených zdrojů, pečlivě kontrolovat adresu webu a nespouštět v Script Editoru soubory podle pokynů neznámé stránky. Pokud uživatel zadal heslo do podezřelého dialogu nebo instaloval aplikaci z neoficiálního zdroje, měl by zařízení prověřit a z bezpečného zařízení změnit dotčená hesla.

Závěr

CrashStealer a PamStealer představují posun od prostého zaznamenávání toho, co uživatel napíše, k přesnějšímu a tiššímu získávání použitelných přihlašovacích údajů. Jeden malware spoléhá na notarizovaný dropper a napodobení nástroje Applu, druhý na falešný software a zneužití důvěryhodného Script Editoru. Společným jmenovatelem je ověření hesla přímo na napadeném Macu, které útočníkům zvyšuje šanci, že ukradené údaje skutečně využijí .