「CrashStealer」と「PamStealer」：Appleの防衛線を突破する新種のmacOS情報スティーラー

公証（Notarization）を悪用したGatekeeper回避。 感染の入り口は、Werkbit と呼ばれる署名・公証済みの第1段階アプリである。このアプリには Emil Grigorov（エミル・グリゴロフ）名義の有効なDeveloper IDが付与されており、Appleの公証サービス（Notarization）を通過していたため、Gatekeeperは「未確認の開発元」という警告を表示せずに実行を許可する^TAJ。ユーザーが Werkbit を手動でダウンロードして開くと、バックグラウンドでスクリプトが動作し、本当の悪質ペイロードである CrashStealer をダウンロードする仕組みだ^TJ。

標的とする認証情報とデータ。 CrashStealer はシステム上の幅広いデータを収集する。

• Chrome、Firefox、Edge、Brave、Opera、Vivaldi などのブラウザに保存された認証情報^TJ。
• 約14種類のパスワードマネージャー（1Passwordを含む）^TA。
• 約80種類の暗号資産ウォレットブラウザ拡張機能とローカルウォレットファイル^TA。
• macOSキーチェーンとシステムパスワード^TJ。

主なテクニック。

• パスワードのローカル検証（事前チェック）。 CrashStealer は、Apple純正のダイアログを模した偽のシステム認証画面を表示し、ユーザーにMacのログインパスワードを入力させる。それをデータ収集の前にローカルで検証し、有効なパスワードだけを確実に入手する^TJ。
• AES-GCM暗号化による隠蔽。 収集したデータは外部のC2（Command & Control）サーバーに送信される前にAES-GCMで暗号化され、ネットワークレベルでの検知を困難にしている^TJ。
• 永続化と偽装。 感染後もクラッシュレポーター画面を表示し続けて偽装を維持。自身を ~/Library/Caches/com.apple.crashreporter/ にコピーし、LaunchAgent として com.apple.crashreporter.helper を作成することで再起動後も活動を続ける^FB。また「フルディスクアクセス」権限を要求し、収集範囲を拡大しようとする^F。

Appleの対応。 AppleはJamfからの報告を受けて、Werkbit の署名証明書を失効させた^TA。

PamStealer：AppleのPAM APIでパスワードを検証するRust製スティーラー

概要。 PamStealer はJamfが2026年7月2日に報告した、Rustで書かれた2段階構成のmacOS情報スティーラーである^AAS。名称は、盗んだパスワードを検証するためにmacOSのPAM（Pluggable Authentication Modules） APIを利用するという特徴に由来する^AMDA。

配布とGatekeeper回避。 PamStealer は、正規のクリップボード管理アプリ Maccy（マッキー）を装ったタイポスクワッティング・ドメイン（例：maccyapp[.]com）から配布される^MIA。Gatekeeperの回避には、macOSのScript Editorに存在する既知の未修正の抜け穴を悪用する。

• ユーザーは、偽のディスクイメージ内に含まれるコンパイル済みの .scpt（AppleScript）ファイルをダウンロードする^AAS。
• 攻撃の誘導文は、ユーザーにこのファイルをScript Editorで開き、Command-R キーを押して実行するよう指示する^AAS。
• Script Editorは信頼されたシステムアプリケーションであるため、Gatekeeperの com.apple.quarantine 保護機構は適用されず、警告は一切表示されない^MDA。

標的とする認証情報とデータ。 第2段階のRustペイロードは以下を盗む。

• macOSログインパスワード（PAM経由）とローカル管理者パスワード^MA。
• ブラウザに保存された認証情報、Cookie、クリップボードの内容^AS。
• macOSキーチェーンの内容^AS。
• EthereumウォレットファイルとSSH鍵^SY。

主要テクニック — PAMによるパスワード検証。 これこそがPamStealerの最大の特徴である。

• macOSが標準の認証プロンプト（「Maccyが変更を加えようとしています」）を表示すると、ユーザーはパスワードを入力する^DA。
• PamStealer は、この入力をただ記録するのではなく、Apple純正のPAM API（pam_start、pam_authenticate）を呼び出し、システムの認証スタックを通してパスワードを検証する^AMDA。
• 検証に成功すればパスワードを外部に送信し、他のデータ収集に移る。失敗した場合は再プロンプトを表示するか処理を中断するため、無効な認証情報を収集する無駄を省ける^DAS。
• この手法は、従来のキーロガーやメモリスクレイパーのようにシステムコールをフックしたりメモリバッファを読み取ったりする必要がなく、フォレンジック上の痕跡が少ない^DA。

macOSマルウェア脅威への広範な影響

• 公証（Notarization）が武器に。 CrashStealer の事例は、攻撃者が悪意のあるアプリをAppleの公証サービスに送り込み、Gatekeeperを通過する署名を取得できてしまうことを示している^TJ。Appleの失効対応は事後的であり、マルウェアは証明書が無効化されるまでの数日から数週間の間に拡散する可能性がある。これは、以前確認されたMacSyncやOdyssey Stealerファミリーと同様の手口である^MFS。

• Script Editorが盲点に。 PamStealer や近年増加しているmacOSマルウェアの多くは、信頼されたシステムアプリケーション経由でAppleScriptを実行することでGatekeeperを丸ごとバイパスできるという、既知ではあるが未修正の抜け穴を悪用している。Jamfはこの問題を指摘している^DA。

• macOS情報スティーラーの高度化。 収集データにAES-GCM暗号化を施す（CrashStealer）やPAM APIによるパスワード検証（PamStealer）といった手法は、攻撃者が市販のマルウェアに頼るのではなく、独自のステルス技術を開発していることを示している^DTJ。Microsoftも2026年2月のレポートで、macOS、Python、クロスプラットフォームの情報スティーラーが「ClickFix」型のソーシャルエンジニアリングを用いてブラウザのパスワードや暗号資産ウォレット、クラウド認証情報を盗む傾向が広がっていると警告している^M。

• 端末上でのパスワード検証が信頼性を向上。 これら2つのスティーラーは、パスワードを推測したり大量に収集したりするのではなく、被害者の端末上でパスワードが有効であることを確認してから外部送信する。これにより攻撃の成功率が上がり、ログイン失敗による検知リスクも低減する^TJ。これは従来の情報スティーラーにはない重要な進化と言える^DS。