CrashStealer et PamStealer : deux nouveaux voleurs macOS contournent Gatekeeper et dérobent vos identifiants

Contournement de Gatekeeper via un dropper notarisé. La chaîne d'infection commence par une application de premier niveau appelée Werkbit — une application signée et notarisée par Apple, portant un Developer ID valide associé à « Emil Grigorov » ^TAJ. Comme le service de notarisation d'Apple l'a approuvée, Gatekeeper la considère comme fiable et n'affiche pas l'avertissement habituel « développeur non identifié » ^AJ. Une fois que l'utilisateur télécharge et ouvre manuellement Werkbit, un script télécharge en arrière-plan la véritable charge utile de CrashStealer ^TJ.

Données et identifiants ciblés. CrashStealer collecte un large éventail de données sur le système :

• Identifiants de navigateurs (Chrome, Firefox, Edge, Brave, Opera, Vivaldi) ^TJ.
• Environ 14 gestionnaires de mots de passe, dont 1Password ^TA.
• Environ 80 extensions de portefeuilles de cryptomonnaies pour navigateurs, ainsi que des fichiers de portefeuilles locaux ^TA.
• Données du trousseau iCloud (Keychain) et mots de passe système ^TJ.

Techniques clés.

• Validation locale du mot de passe avant exfiltration. CrashStealer invite l'utilisateur à saisir son mot de passe de connexion Mac via une fausse boîte de dialogue système imitant l'invite légitime d'Apple, puis le valide localement avant de procéder au vol de données — garantissant ainsi à l'attaquant un identifiant fonctionnel ^TJ.
• Chiffrement AES-GCM des fichiers volés avant leur envoi vers un serveur de commande et de contrôle (C2) distant, rendant la détection au niveau réseau plus difficile ^TJ.
• Persistance et déguisement. Après l'infection, il affiche un écran de rapport de crash factice convaincant pour maintenir la supercherie, se copie dans ~/Library/Caches/com.apple.crashreporter/ et crée un LaunchAgent nommé com.apple.crashreporter.helper pour survivre aux redémarrages ^FB.
• Le malware demande également l'autorisation « Accès au disque complet » pour élargir ce qu'il peut voler ^F.

Réponse d'Apple. Apple a révoqué le certificat de signature de Werkbit après que Jamf a signalé le malware ^TA.

PamStealer : un voleur en Rust qui valide les mots de passe via l'API PAM d'Apple

Qu'est-ce que c'est ? PamStealer est un infostealer macOS en deux étapes, écrit en Rust, divulgué par Jamf le 2 juillet 2026 ^AAS. Son nom vient de son utilisation novatrice de l'API Pluggable Authentication Modules (PAM) d'Apple pour vérifier les mots de passe volés ^AMDA.

Distribution et contournement de Gatekeeper. PamStealer est distribué via des domaines de typosquatting imitant le gestionnaire de presse-papiers légitime Maccy (par exemple, maccyapp[.]com) ^MIA. L'attaque contourne Gatekeeper en exploitant une faille connue mais non corrigée de l'éditeur de scripts (Script Editor) de macOS :

• La victime télécharge une image disque piégée contenant un fichier AppleScript compilé .scpt ^AAS.
• Le leurre demande à l'utilisateur d'ouvrir le fichier dans Script Editor et d'appuyer sur Cmd+R pour l'exécuter ^AAS.
• Comme Script Editor est une application système de confiance, les protections com.apple.quarantine de Gatekeeper sont contournées et aucun avertissement n'est affiché ^MDA.

Données et identifiants ciblés. La charge utile Rust de deuxième étape vole :

• Les mots de passe de connexion macOS (via PAM) et le mot de passe administrateur local ^MA.
• Les identifiants enregistrés dans les navigateurs, les cookies et le contenu du presse-papiers ^AS.
• Le contenu du trousseau iCloud (Keychain) ^AS.
• Les fichiers de portefeuilles Ethereum et les clés SSH ^SY.

Technique clé — validation du mot de passe par PAM. C'est l'innovation signature de PamStealer :

• Lorsque macOS présente une invite d'authentification standard (« Maccy veut apporter des modifications »), l'utilisateur tape son mot de passe ^DA.
• Au lieu de le capturer aveuglément, PamStealer appelle la propre API PAM d'Apple (pam_start, pam_authenticate) pour tester le mot de passe par rapport à la pile d'authentification du système avant de l'enregistrer ^AMDA.
• Si le mot de passe est correct, il l'exfiltre et procède à la collecte d'autres identifiants. Sinon, il peut réafficher l'invite ou abandonner, réduisant ainsi le risque de gâcher des ressources sur un mauvais identifiant ^DAS.
• Cette technique laisse moins de traces forensiques que les keyloggers ou les racleurs de mémoire classiques car elle utilise l'API d'Apple pour la vérification plutôt que de détourner des appels système ou de lire des tampons mémoire ^DA.

Implications plus larges pour les menaces de malwares sur Mac

• La notarisation comme arme. CrashStealer démontre que les auteurs de menaces peuvent soumettre avec succès des applications malveillantes au service de notarisation d'Apple et obtenir des signatures qui contournent Gatekeeper ^TJ. Le processus de révocation d'Apple est réactif, pas préventif — le malware peut se propager pendant des jours ou des semaines avant que le certificat ne soit révoqué. Cela suit un schéma observé avec des malwares antérieurs comme MacSync et la famille Odyssey Stealer, qui abusaient également de signatures de développeurs Apple valides ^MFS.

• Script Editor comme angle mort. PamStealer et un nombre croissant de menaces macOS récentes exploitent le fait que l'exécution de scripts AppleScript via des applications système de confiance contourne entièrement Gatekeeper. Jamf note qu'il s'agit d'une faille documentée mais toujours non corrigée ^DA.

• Les infostelers macOS gagnent en sophistication. L'utilisation du chiffrement AES-GCM pour les données exfiltrées (CrashStealer) et de la validation via l'API PAM (PamStealer) montre que les attaquants investissent dans des techniques furtives sur mesure plutôt que de se reposer sur des malwares standard ^DTJ. Microsoft a également noté en février 2026 une tendance plus large des infostelers macOS, Python et multiplateformes à utiliser des leurres d'ingénierie sociale de type « ClickFix » pour voler les mots de passe des navigateurs, les portefeuilles crypto et les identifiants cloud ^M.

• La validation locale du mot de passe, un nouveau gage de fiabilité. Plutôt que de deviner ou de collecter en masse des identifiants, ces deux voleurs confirment la validité du mot de passe sur la machine de la victime avant exfiltration — améliorant le taux de réussite de l'attaquant et réduisant les risques de détection due à des échecs de connexion ^TJ. Il s'agit d'une évolution significative : les infostelers typiques capturent ce qui est tapé ou utilisent des appels de commande dscl ou security qui peuvent échouer silencieusement ou déclencher des alertes ^DS.