CrashStealer ja PamStealer: uudet Mac-haittaohjelmat varmistavat salasanan ennen varastamista

Macit eivät ole immuuneja tietovarastajille. Jamf Threat Labs dokumentoi heinäkuussa 2026 kaksi uutta macOS-haittaohjelmaa, CrashStealerin ja PamStealerin, jotka yhdistävät käyttäjän huijaamisen ja Applen omien luottamusmekanismien väärinkäytön. Molemmat pyrkivät varmistamaan uhrin salasanan paikallisesti ennen tietojen lähettämistä hyökkääjälle – näin varastettu tunnus on todennäköisemmin toimiva ^CATJ.

CrashStealer naamioituu Applen kaatumisraportoijaksi

Miten se leviää?

CrashStealer on C++-kielellä toteutettu macOS-tietovarastaja, jonka Jamf havaitsi ensimmäisen kerran heinäkuun alussa 2026. Se dokumentoitiin julkisesti 13.–14. heinäkuuta ^TAJ. Haittaohjelman suoritettava tiedosto on nimetty CrashReporter.app-nimellä, ja se käyttää Applen aidon kaatumisraportointityökalun kuvaketta ja metatietoja. Tavoitteena on näyttää järjestelmän normaalilta komponentilta ^AB.

Hyökkäys alkaa Werkbit-nimisestä ensimmäisen vaiheen sovelluksesta. Se oli allekirjoitettu ja Applen notarisoima, ja sen voimassa oleva Developer ID oli yhdistetty nimeen ”Emil Grigorov” ^TAJ. Notarisointi tarkoittaa, että sovellus on läpäissyt Applen automaattisen tarkistusprosessin. Siksi Gatekeeper saattoi käsitellä sen luotettuna eikä näyttää tavallista tuntemattomasta kehittäjästä varoittavaa ilmoitusta ^AJ.

Tämä ei kuitenkaan tarkoita, että hyökkäys tapahtuisi täysin ilman käyttäjän toimia: uhrin on ensin ladattava ja avattava Werkbit itse. Tämän jälkeen taustalla toimiva komentosarja lataa varsinaisen CrashStealer-haitallisen hyötykuorman ^TJ.

Mitä CrashStealer etsii?

Haittaohjelma pyrkii keräämään laajasti tietoja Macilta:

• Chrome-, Firefox-, Edge-, Brave-, Opera- ja Vivaldi-selainten kirjautumistietoja ^TJ
• noin 14 salasanojenhallintaohjelman tietoja, mukaan lukien 1Password ^TA
• noin 80 kryptovaluuttalompakoiden selainlaajennusten ja paikallisten lompakkotiedostojen tietoja ^TA
• macOS:n Keychain-avainnipun tietoja ja järjestelmäsalasanoja ^TJ

CrashStealer näyttää käyttäjälle Applen järjestelmäkehotetta muistuttavan valesalasanakyselyn. Se tarkistaa salasanan paikallisesti ennen tietojen varastamista, jotta hyökkääjälle ei lähetetä virheellistä tunnusta ^TJ. Varastetut tiedostot salataan AES-GCM-menetelmällä ennen lähettämistä etähallintapalvelimelle eli C2-palvelimelle, mikä voi vaikeuttaa verkkoliikenteen tarkkailua ^TJ.

Haittaohjelma yrittää myös säilyä laitteella uudelleenkäynnistysten jälkeen. Se kopioi itsensä hakemistoon ~/Library/Caches/com.apple.crashreporter/ ja luo com.apple.crashreporter.helper-nimisen LaunchAgent-käynnistyskohteen. Lisäksi se voi pyytää täydellistä levyn käyttöoikeutta, mikä laajentaa sen mahdollisuuksia lukea tiedostoja ^FB.

Apple peruutti Werkbitiin liittyneen allekirjoitusvarmenteen sen jälkeen, kun Jamf ilmoitti haittaohjelmasta ^TA.

PamStealer käyttää macOS:n omaa todennusrajapintaa

Väärennetty Maccy johdattaa käyttäjän ansaan

PamStealer on Rust-ohjelmointikielellä toteutettu kaksivaiheinen macOS-tietovarastaja, jonka Jamf julkisti 2. heinäkuuta 2026 ^AAS. Sen nimi viittaa PAM-järjestelmään eli Pluggable Authentication Modules -rajapintaan, jota macOS käyttää käyttäjän todentamiseen ^AMDA.

Haittaohjelmaa levitetään verkkotunnuksilla, jotka muistuttavat aitoa Maccy-leikepöydänhallintaohjelmaa. Esimerkkinä tutkijat ovat maininneet verkkotunnuksen maccyapp[.]com ^MIA.

Uhri lataa verkkolevykuvan, joka sisältää haitallisen käännetyn .scpt-AppleScript-tiedoston. Ohje kehottaa avaamaan tiedoston macOS:n Script Editorissa ja painamaan Komento-R-näppäinyhdistelmää sen suorittamiseksi ^AAS. Koska Script Editor on Applen luotettu järjestelmäohjelma, macOS:n com.apple.quarantine-karanteenimekanismi ja Gatekeeperin tavanomaiset tarkistukset voidaan tässä ketjussa kiertää ilman normaalia varoitusta ^MDA.

Mitä PamStealer varastaa?

Rustilla kirjoitettu toinen vaihe pyrkii keräämään muun muassa:

• macOS-kirjautumis- ja paikallisen ylläpitäjän salasanan ^MA
• selaimiin tallennettuja kirjautumistietoja ja evästeitä ^AS
• leikepöydän sisältöä ^AS
• macOS:n Keychain-avainnipun tietoja ^AS
• Ethereum-lompakoiden tiedostoja ja SSH-avaimia ^SY

Salasanaa ei vain kaapata – se tarkistetaan ensin

PamStealerin poikkeuksellinen piirre on sen tapa käsitellä salasanaa. Kun käyttäjälle näytetään järjestelmältä vaikuttava ilmoitus, kuten ”Maccy haluaa tehdä muutoksia”, hän voi kirjoittaa Macin salasanan kenttään ^DA.

PamStealer ei kuitenkaan tyydy tallentamaan mitä tahansa kirjoitettua merkkijonoa. Se kutsuu macOS:n omaa PAM-rajapintaa, muun muassa pam_start- ja pam_authenticate-toimintoja, ja tarkistaa salasanan järjestelmän todentamisketjua vasten ennen sen lähettämistä eteenpäin ^AMDA.

Jos salasana on oikea, haittaohjelma lähettää sen hyökkääjälle ja jatkaa muiden tietojen keräämistä. Virheellinen salasana voi johtaa uuteen kyselyyn tai hyökkäyksen keskeytymiseen ^DAS. Menetelmä voi jättää vähemmän tutkittavia jälkiä kuin perinteinen näppäinloggeri tai muistista tietoja etsivä haittaohjelma, koska se käyttää käyttöjärjestelmän omaa todennusrajapintaa järjestelmäkutsujen kaappaamisen tai muistipuskurien lukemisen sijaan ^DA.

Mitä tapaukset kertovat Mac-haittaohjelmista?

Applen notarisaatio ei ole ehdoton laatuleima

CrashStealer osoittaa, että haitallisen sovelluksen onnistuminen Applen notarisointiprosessissa voi antaa sille Gatekeeperin hyväksynnän ^TJ. Notarisointi ei ole täydellinen manuaalinen koodikatselmus, vaan osa Applen automaattisiin tarkistuksiin perustuvaa luottamusketjua. Jos varmenne perutaan vasta haittaohjelman löytymisen jälkeen, hyökkääjät voivat ehtiä levittää sovellusta ennen torjuntatoimia. Samankaltaista Applen allekirjoitusten väärinkäyttöä on nähty aiemmin esimerkiksi MacSync- ja Odyssey Stealer -tapauksissa ^MFS.

Luotettu järjestelmäohjelma voi muuttua hyökkäyksen välineeksi

PamStealerin tapaus nostaa esiin Script Editorin kaltaisten järjestelmäohjelmien ongelman. Kun käyttäjä ohjataan suorittamaan haitallinen AppleScript luotetussa sovelluksessa, Gatekeeper ei välttämättä käsittele tapahtumaa samalla tavalla kuin tuntemattomasta sovelluksesta käynnistettyä ohjelmaa. Jamf on kuvannut tätä dokumentoiduksi mutta edelleen paikkaamattomaksi aukoksi macOS:n suojauksissa ^DA.

Tietovarastajat kohdistuvat arvokkaaseen kokonaisuuteen

Uusien haittaohjelmien tavoitteena ei ole vain yksi salasana. Samassa hyökkäyksessä voidaan tavoitella selainten istuntoja, salasanojenhallintaohjelmien sisältöä, kryptovaluuttalompakoita, SSH-avaimia, leikepöydän tietoja ja avainnippua. Microsoft raportoi jo helmikuussa 2026 laajemmasta trendistä, jossa macOS-, Python- ja monialustaiset tietovarastajat käyttävät ”ClickFix”-tyyppistä manipulointia selainten salasanojen, kryptolompakoiden ja pilvipalvelutunnusten varastamiseen ^M.

CrashStealerin AES-GCM-salaus ja PamStealerin PAM-pohjainen salasanan tarkistus kertovat siitä, että Mac-haittaohjelmat kehittyvät entistä räätälöidymmiksi ja huomaamattomammiksi ^DTJ. Käyttäjän näkökulmasta tärkein suoja on edelleen käytännöllinen: sovellukset kannattaa ladata vain luotettavista lähteistä, verkkotunnus tarkistaa huolellisesti ja odottamattomiin salasana- tai käyttöoikeuspyyntöihin suhtautua epäillen – vaikka ilmoitus näyttäisi Applen omalta.