CrashStealer e PamStealer: come i nuovi malware per Mac verificano le password prima di rubarle
CrashStealer e PamStealer sono stati documentati da Jamf Threat Labs nel luglio 2026 e prendono di mira credenziali, portafogli di criptovalute, password manager e dati del Portachiavi [1][2][17][33]. CrashStealer arriva tramite Werkbit, un'app firmata e notarizzata da Apple, e si presenta come il legittimo strument...
CrashStealer e PamStealer sono stati documentati da Jamf Threat Labs nel luglio 2026 e prendono di mira credenziali, portafogli di criptovalute, password manager e dati del Portachiavi [1][2][17][33].
CrashStealer arriva tramite Werkbit, un'app firmata e notarizzata da Apple, e si presenta come il legittimo strumento di segnalazione degli arresti anomali di macOS [17][19][33][34].
PamStealer si distribuisce attraverso falsi siti di Maccy e induce l'utente a eseguire uno script AppleScript nel fidato Editor Script, eludendo le protezioni di quarantena [4][5][7][9].
Entrambi i malware verificano localmente che la password inserita sia corretta prima di inviarla agli aggressori, aumentando l'affidabilità del furto e riducendo gli errori [7][9][17][33].
Search & fact-check with cited sources for What are the key details about the two newly documented macOS infostealers — CrashStealer and PamAn AI-generated visual representing macOS malware execution chain, illustrating how notarized droppers can bypass Gatekeeper security.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key details about the two newly documented macOS infostealers — CrashStealer and Pam. Article summary: Here is the detailed breakdown of both macOS infostealers, based primarily on Jamf Threat Labs' research from July 2026.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrati
openai.com
Due nuovi infostealer per macOS, CrashStealer e PamStealer, mostrano quanto sia cambiato il malware destinato ai Mac. Non si limitano a raccogliere ciò che l'utente digita: verificano sul dispositivo che la password funzioni davvero, poi sottraggono browser data, portafogli di criptovalute, password salvate e informazioni dal Portachiavi CATT.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "CrashStealer e PamStealer: come i nuovi malware per Mac verificano le password prima di rubarle"?
CrashStealer e PamStealer sono stati documentati da Jamf Threat Labs nel luglio 2026 e prendono di mira credenziali, portafogli di criptovalute, password manager e dati del Portachiavi [1][2][17][33].
What are the key points to validate first?
CrashStealer e PamStealer sono stati documentati da Jamf Threat Labs nel luglio 2026 e prendono di mira credenziali, portafogli di criptovalute, password manager e dati del Portachiavi [1][2][17][33]. CrashStealer arriva tramite Werkbit, un'app firmata e notarizzata da Apple, e si presenta come il legittimo strumento di segnalazione degli arresti anomali di macOS [17][19][33][34].
What should I do next in practice?
PamStealer si distribuisce attraverso falsi siti di Maccy e induce l'utente a eseguire uno script AppleScript nel fidato Editor Script, eludendo le protezioni di quarantena [4][5][7][9].
Le due minacce usano però strade diverse per superare le difese di macOS. CrashStealer sfrutta un'applicazione firmata e notarizzata, mentre PamStealer fa leva sull'ingegneria sociale e sull'esecuzione di un AppleScript attraverso un'applicazione di sistema considerata attendibile.
CrashStealer: il malware che imita il segnalatore di arresti anomali di Apple
Un'app apparentemente affidabile
CrashStealer è un infostealer scritto in C++, individuato da Jamf Threat Labs all'inizio di luglio 2026 e analizzato pubblicamente il 13 e 14 luglio TAJ. Il suo eseguibile si chiama CrashReporter.app e utilizza icona e metadati simili a quelli del legittimo componente di macOS che segnala gli arresti anomali delle applicazioni AB.
Il travestimento serve a rendere il programma meno sospetto sia agli occhi dell'utente sia, potenzialmente, degli strumenti di sicurezza.
Il ruolo della notarizzazione
La catena d'infezione comincia con Werkbit, un'app firmata e notarizzata da Apple. Il programma disponeva di un Developer ID valido associato a “Emil Grigorov” TAJ.
La notarizzazione non equivale a una revisione completa del codice: indica che l'app è stata sottoposta ai controlli del servizio di Apple. Tuttavia, in questo caso è bastata a farla apparire attendibile a Gatekeeper, evitando il consueto avviso relativo a uno sviluppatore non identificato AJ.
Dopo che la vittima scarica e apre manualmente Werkbit, uno script recupera in secondo piano il payload effettivo di CrashStealer TJ. Apple ha successivamente revocato il certificato di firma collegato a Werkbit dopo la segnalazione di Jamf TA.
Cosa cerca CrashStealer
Il malware punta a un'ampia quantità di informazioni:
credenziali dei browser Chrome, Firefox, Edge, Brave, Opera e Vivaldi TJ;
dati di circa 14 password manager, tra cui 1Password TA;
circa 80 estensioni per portafogli di criptovalute, oltre ai file locali dei wallet TA;
dati del Portachiavi di macOS e password di sistema TJ.
La password viene controllata prima dell'invio
CrashStealer mostra una finestra di dialogo contraffatta, progettata per sembrare una richiesta legittima di macOS, e chiede la password di accesso al Mac. Prima di procedere con l'esfiltrazione, il malware la verifica localmente: in questo modo gli aggressori ricevono una credenziale funzionante, non una semplice stringa digitata per errore TJ.
I dati raccolti vengono inoltre cifrati con AES-GCM prima dell'invio a un server remoto di comando e controllo (C2), rendendo più difficile individuare il contenuto del traffico osservando semplicemente la rete TJ.
Per mantenere la propria persistenza, CrashStealer copia una versione di sé in ~/Library/Caches/com.apple.crashreporter/ e crea un LaunchAgent chiamato com.apple.crashreporter.helper, così da poter ripartire dopo un riavvio FB. Il malware può anche chiedere l'autorizzazione di Accesso completo al disco, ampliando la quantità di dati a cui può accedere F.
PamStealer: lo stealer che usa l'API PAM di macOS
Falsi siti di Maccy e script dannosi
PamStealer è un infostealer a due stadi scritto in Rust, divulgato da Jamf Threat Labs il 2 luglio 2026 AAS. Il nome deriva dall'uso della Pluggable Authentication Modules (PAM) API, l'interfaccia che macOS impiega nella propria infrastruttura di autenticazione AMDA.
La distribuzione avviene attraverso domini simili a quello del legittimo gestore degli appunti Maccy, per esempio maccyapp[.]comMIA. La vittima scarica un'immagine disco manipolata che contiene un file AppleScript compilato con estensione .scptAAS.
L'esca chiede poi di aprire il file nell'Editor Script e premere Comando-R per eseguirlo AAS. Poiché l'Editor Script è un'applicazione di sistema considerata attendibile, questa procedura può aggirare le protezioni com.apple.quarantine di macOS senza mostrare il normale avviso di Gatekeeper MDA.
Credenziali e dati nel mirino
Il secondo stadio, scritto in Rust, raccoglie:
password di accesso a macOS e password dell'amministratore locale, attraverso PAM MA;
credenziali salvate nei browser, cookie e contenuti degli appunti AS;
Il comportamento più insolito di PamStealer riguarda il modo in cui gestisce la password. Quando compare una richiesta apparentemente standard, come “Maccy vuole apportare modifiche”, l'utente può inserire la propria password DA.
Invece di conservarla senza verificarla, il malware richiama le funzioni dell'API PAM — tra cui pam_start e pam_authenticate — per controllare la password attraverso il normale sistema di autenticazione del Mac AMDA.
Se la password è corretta, viene registrata e inviata agli aggressori insieme agli altri dati. In caso contrario, PamStealer può chiedere nuovamente l'inserimento oppure interrompere la procedura DAS. Secondo le analisi disponibili, questo approccio può lasciare meno tracce forensi rispetto a un keylogger tradizionale o a tecniche che leggono direttamente la memoria, perché sfrutta un'API legittima del sistema invece di intercettare chiamate o buffer DA.
Perché questi casi contano per la sicurezza dei Mac
La firma valida non è una garanzia assoluta
CrashStealer dimostra che una campagna dannosa può arrivare a utilizzare un'app firmata e notarizzata, superando i controlli normalmente associati a Gatekeeper TJ. La revoca del certificato è una risposta importante, ma arriva dopo la scoperta e la segnalazione: nel frattempo, l'app può essere stata scaricata e aperta dagli utenti TA.
Il caso si inserisce in una tendenza già osservata con altre famiglie di malware per macOS, tra cui MacSync e la famiglia Odyssey Stealer, che hanno abusato di firme valide degli sviluppatori Apple MFS.
L'Editor Script resta un punto delicato
PamStealer evidenzia inoltre i rischi legati all'esecuzione di AppleScript tramite applicazioni di sistema attendibili. Se l'utente viene convinto a compiere i passaggi richiesti, il fatto che lo script venga avviato da uno strumento integrato può indebolire l'efficacia dei controlli di Gatekeeper DA.
Gli infostealer per macOS puntano sempre più ai dati ad alto valore
Cifratura AES-GCM, payload personalizzati e verifica locale delle password indicano un livello di progettazione più sofisticato rispetto ai malware generici DTJ. Un'analisi di Microsoft del febbraio 2026 aveva già segnalato la diffusione di campagne “ClickFix” e di altri meccanismi di ingegneria sociale capaci di sottrarre password dei browser, wallet crypto, credenziali cloud e chiavi di accesso degli sviluppatori M.
Per gli utenti, la lezione è concreta: la presenza di una firma Apple o l'aspetto familiare di una finestra non bastano a dimostrare che un'app sia sicura. È essenziale scaricare i programmi dai siti ufficiali, controllare con attenzione gli indirizzi web e non eseguire script seguendo istruzioni ricevute da fonti non verificate AM. Se una richiesta di password compare in un contesto inatteso, conviene interrompere la procedura e verificare prima quale applicazione la stia generando.
appleinsider.comCrashStealer' malware mimics Apple tool to steal Mac data
