To ostatnie zachowanie ma duże znaczenie praktyczne. Malware nie przechwytuje już po prostu dowolnego tekstu wpisanego w oknie logowania. Najpierw upewnia się, że hasło rzeczywiście działa, dzięki czemu atakujący otrzymuje użyteczne dane uwierzytelniające.

CrashStealer podszywa się pod raport awarii Apple

Zaufana aplikacja jako pierwszy etap ataku

CrashStealer to infostealer napisany w języku C++, wykryty przez Jamf Threat Labs na początku lipca 2026 r. i opisany publicznie 13–14 lipca . Złośliwy program udaje narzędzie Apple do raportowania awarii. Jego plik nosi nazwę CrashReporter.app, a malware wykorzystuje również ikonę i metadane przypominające prawdziwy komponent systemu .

Atak rozpoczyna się od aplikacji pierwszego etapu o nazwie Werkbit. Była ona podpisana ważnym certyfikatem Developer ID powiązanym z osobą „Emil Grigorov” i przeszła proces notaryzacji Apple . W efekcie Gatekeeper traktował ją jako zaufaną i nie wyświetlał typowego ostrzeżenia o aplikacji od niezidentyfikowanego dewelopera .

Użytkownik musiał jednak samodzielnie pobrać i uruchomić Werkbit. Dopiero wtedy skrypt pobierał właściwy ładunek CrashStealera w tle . To ważne zastrzeżenie: nie chodzi o całkowicie bezobsługowe przejęcie Maca, lecz o połączenie technicznego obejścia zabezpieczeń z nakłonieniem użytkownika do uruchomienia pliku.

Jakie dane kradnie CrashStealer?

Według badaczy malware przeszukuje wiele popularnych miejsc przechowywania informacji:

• dane logowania z przeglądarek Chrome, Firefox, Edge, Brave, Opera i Vivaldi ;
• dane z około 14 menedżerów haseł, w tym 1Password ;
• około 80 rozszerzeń przeglądarkowych obsługujących portfele kryptowalutowe oraz lokalne pliki portfeli ;
• dane z macOS Keychain, czyli systemowego pęku kluczy, oraz hasła systemowe .

CrashStealer wyświetla fałszywe okno systemowe, które ma skłonić ofiarę do wpisania hasła logowania do Maca. Następnie sprawdza je lokalnie, zanim przejdzie do dalszego wykradania informacji .

Skradzione pliki są szyfrowane algorytmem AES-GCM przed wysłaniem do zdalnego serwera dowodzenia i kontroli (C2), co może utrudniać wykrycie transmisji na poziomie sieci . Malware kopiuje się także do katalogu ~/Library/Caches/com.apple.crashreporter/ i tworzy agenta uruchamianego przy logowaniu o nazwie com.apple.crashreporter.helper, aby przetrwać ponowne uruchomienie komputera . Dodatkowo prosi o uprawnienie „Pełny dostęp do dysku”, które zwiększa zakres danych możliwych do odczytania .

Po zgłoszeniu sprawy przez Jamf Apple unieważniło certyfikat użyty do podpisania Werkbit . To ogranicza działanie konkretnej próbki, ale nie eliminuje samej metody wykorzystywania legalnie wyglądających podpisów.

PamStealer wykorzystuje zaufany Script Editor

Fałszywy Maccy i plik AppleScript

PamStealer to dwuetapowy infostealer napisany w Rust, opisany przez Jamf 2 lipca 2026 r. . Jego nazwa pochodzi od wykorzystania przez malware interfejsu PAM — Pluggable Authentication Modules, czyli systemu modułów odpowiedzialnych za uwierzytelnianie w macOS .

Malware jest rozpowszechniany za pośrednictwem domen łudząco podobnych do witryny prawdziwego programu Maccy, menedżera schowka dla Maca, na przykład maccyapp[.]com . Ofiara pobiera zainfekowany obraz dysku zawierający skompilowany plik AppleScript z rozszerzeniem .scpt . Instrukcja na stronie nakazuje otworzyć go w systemowym Script Editorze i nacisnąć Command-R, aby uruchomić skrypt .

Ponieważ Script Editor jest zaufaną aplikacją systemową, ten sposób uruchomienia omija mechanizm com.apple.quarantine i nie wywołuje standardowego ostrzeżenia Gatekeepera . To przykład ataku, w którym przestępcy wykorzystują nie tylko kod, lecz także instrukcję prowadzącą użytkownika krok po kroku.

Zakres kradzieży

Drugi etap, napisany w Rust, może pozyskiwać:

• hasło logowania do macOS oraz hasło lokalnego administratora ;
• zapisane dane logowania i ciasteczka z przeglądarek, a także zawartość schowka ;
• dane z pęku kluczy macOS ;
• pliki portfeli Ethereum i klucze SSH .

Weryfikacja hasła przez systemowy interfejs PAM

Najbardziej charakterystyczną cechą PamStealera jest sposób obsługi hasła. Gdy pojawia się pozornie standardowy komunikat, na przykład „Maccy chce wprowadzić zmiany”, użytkownik wpisuje swoje dane .

PamStealer nie zapisuje ich jednak bez sprawdzenia. Wywołuje funkcje macOS PAM — między innymi pam_start i pam_authenticate — aby zweryfikować hasło w systemowym mechanizmie uwierzytelniania . Jeśli hasło jest prawidłowe, malware zachowuje je i wysyła na serwer, po czym kontynuuje kradzież innych danych. W przypadku błędu może wyświetlić monit ponownie albo przerwać działanie .

Wykorzystanie legalnego API może pozostawiać mniej śladów śledczych niż typowy keylogger lub narzędzie odczytujące zawartość pamięci. PamStealer nie musi bowiem przechwytywać niskopoziomowych wywołań ani szukać hasła w buforach pamięci — używa mechanizmu, który macOS sam wykorzystuje do uwierzytelniania .

Co te przypadki mówią o bezpieczeństwie Maców?

Notaryzacja nie jest pełnym audytem aplikacji

CrashStealer pokazuje, że napastnicy mogą uzyskać podpis i notaryzację złośliwej aplikacji, a następnie wykorzystać je do przejścia kontroli Gatekeepera . Notaryzacja zwiększa zaufanie do aplikacji, ale nie oznacza pełnego ręcznego audytu każdego elementu kodu. Unieważnienie certyfikatu przez Apple jest reakcją na zgłoszenie, a nie ochroną, która zawsze zapobiega pierwszemu uruchomieniu malware’u. Podobne nadużycia ważnych podpisów Apple obserwowano wcześniej w kampaniach związanych między innymi z MacSync i rodziną Odyssey Stealer .

Zaufane narzędzia mogą stać się elementem łańcucha ataku

PamStealer wykorzystuje fakt, że użytkownicy mogą uruchamiać AppleScript przez zaufaną aplikację systemową. Jamf wskazuje, że jest to znana, lecz wciąż niezałatana luka w modelu ochrony używanym przez Script Editor . Dla użytkownika kluczowy jest więc nie tylko sam komunikat macOS, ale także źródło pliku i instrukcja, która każe wykonać nietypową czynność, taką jak uruchomienie skryptu klawiszem Command-R.

Infostealery stają się bardziej wyspecjalizowane

Szyfrowanie AES-GCM w CrashStealerze i weryfikacja haseł przez PAM w PamStealerze wskazują na odejście od prostych, masowych narzędzi na rzecz bardziej dopracowanych i dyskretnych technik . Microsoft odnotował również szerszy trend wykorzystania przynęt socjotechnicznych typu „ClickFix” do kradzieży haseł z przeglądarek, portfeli kryptowalutowych, danych chmurowych i kluczy dostępu deweloperów .

Dla użytkowników praktyczny wniosek jest prosty: aplikacje na macOS należy pobierać z oficjalnych, sprawdzonych źródeł, dokładnie sprawdzać adres domeny i traktować podejrzliwie prośby o uruchomienie skryptu w Script Editorze lub przyznanie pełnego dostępu do dysku. Sam fakt, że aplikacja przechodzi kontrolę Gatekeepera, nie gwarantuje, że jej dystrybucja i zachowanie są bezpieczne.

To ostatnie zachowanie ma duże znaczenie praktyczne. Malware nie przechwytuje już po prostu dowolnego tekstu wpisanego w oknie logowania. Najpierw upewnia się, że hasło rzeczywiście działa, dzięki czemu atakujący otrzymuje użyteczne dane uwierzytelniające.

CrashStealer podszywa się pod raport awarii Apple

Zaufana aplikacja jako pierwszy etap ataku

CrashStealer to infostealer napisany w języku C++, wykryty przez Jamf Threat Labs na początku lipca 2026 r. i opisany publicznie 13–14 lipca . Złośliwy program udaje narzędzie Apple do raportowania awarii. Jego plik nosi nazwę CrashReporter.app, a malware wykorzystuje również ikonę i metadane przypominające prawdziwy komponent systemu .

Atak rozpoczyna się od aplikacji pierwszego etapu o nazwie Werkbit. Była ona podpisana ważnym certyfikatem Developer ID powiązanym z osobą „Emil Grigorov” i przeszła proces notaryzacji Apple . W efekcie Gatekeeper traktował ją jako zaufaną i nie wyświetlał typowego ostrzeżenia o aplikacji od niezidentyfikowanego dewelopera .

Użytkownik musiał jednak samodzielnie pobrać i uruchomić Werkbit. Dopiero wtedy skrypt pobierał właściwy ładunek CrashStealera w tle . To ważne zastrzeżenie: nie chodzi o całkowicie bezobsługowe przejęcie Maca, lecz o połączenie technicznego obejścia zabezpieczeń z nakłonieniem użytkownika do uruchomienia pliku.

Jakie dane kradnie CrashStealer?

Według badaczy malware przeszukuje wiele popularnych miejsc przechowywania informacji:

• dane logowania z przeglądarek Chrome, Firefox, Edge, Brave, Opera i Vivaldi ;
• dane z około 14 menedżerów haseł, w tym 1Password ;
• około 80 rozszerzeń przeglądarkowych obsługujących portfele kryptowalutowe oraz lokalne pliki portfeli ;
• dane z macOS Keychain, czyli systemowego pęku kluczy, oraz hasła systemowe .

CrashStealer wyświetla fałszywe okno systemowe, które ma skłonić ofiarę do wpisania hasła logowania do Maca. Następnie sprawdza je lokalnie, zanim przejdzie do dalszego wykradania informacji .

Skradzione pliki są szyfrowane algorytmem AES-GCM przed wysłaniem do zdalnego serwera dowodzenia i kontroli (C2), co może utrudniać wykrycie transmisji na poziomie sieci . Malware kopiuje się także do katalogu ~/Library/Caches/com.apple.crashreporter/ i tworzy agenta uruchamianego przy logowaniu o nazwie com.apple.crashreporter.helper, aby przetrwać ponowne uruchomienie komputera . Dodatkowo prosi o uprawnienie „Pełny dostęp do dysku”, które zwiększa zakres danych możliwych do odczytania .

Po zgłoszeniu sprawy przez Jamf Apple unieważniło certyfikat użyty do podpisania Werkbit . To ogranicza działanie konkretnej próbki, ale nie eliminuje samej metody wykorzystywania legalnie wyglądających podpisów.

PamStealer wykorzystuje zaufany Script Editor

Fałszywy Maccy i plik AppleScript

PamStealer to dwuetapowy infostealer napisany w Rust, opisany przez Jamf 2 lipca 2026 r. . Jego nazwa pochodzi od wykorzystania przez malware interfejsu PAM — Pluggable Authentication Modules, czyli systemu modułów odpowiedzialnych za uwierzytelnianie w macOS .

Malware jest rozpowszechniany za pośrednictwem domen łudząco podobnych do witryny prawdziwego programu Maccy, menedżera schowka dla Maca, na przykład maccyapp[.]com . Ofiara pobiera zainfekowany obraz dysku zawierający skompilowany plik AppleScript z rozszerzeniem .scpt . Instrukcja na stronie nakazuje otworzyć go w systemowym Script Editorze i nacisnąć Command-R, aby uruchomić skrypt .

Ponieważ Script Editor jest zaufaną aplikacją systemową, ten sposób uruchomienia omija mechanizm com.apple.quarantine i nie wywołuje standardowego ostrzeżenia Gatekeepera . To przykład ataku, w którym przestępcy wykorzystują nie tylko kod, lecz także instrukcję prowadzącą użytkownika krok po kroku.

Zakres kradzieży

Drugi etap, napisany w Rust, może pozyskiwać:

• hasło logowania do macOS oraz hasło lokalnego administratora ;
• zapisane dane logowania i ciasteczka z przeglądarek, a także zawartość schowka ;
• dane z pęku kluczy macOS ;
• pliki portfeli Ethereum i klucze SSH .

Weryfikacja hasła przez systemowy interfejs PAM

Najbardziej charakterystyczną cechą PamStealera jest sposób obsługi hasła. Gdy pojawia się pozornie standardowy komunikat, na przykład „Maccy chce wprowadzić zmiany”, użytkownik wpisuje swoje dane .

PamStealer nie zapisuje ich jednak bez sprawdzenia. Wywołuje funkcje macOS PAM — między innymi pam_start i pam_authenticate — aby zweryfikować hasło w systemowym mechanizmie uwierzytelniania . Jeśli hasło jest prawidłowe, malware zachowuje je i wysyła na serwer, po czym kontynuuje kradzież innych danych. W przypadku błędu może wyświetlić monit ponownie albo przerwać działanie .

Wykorzystanie legalnego API może pozostawiać mniej śladów śledczych niż typowy keylogger lub narzędzie odczytujące zawartość pamięci. PamStealer nie musi bowiem przechwytywać niskopoziomowych wywołań ani szukać hasła w buforach pamięci — używa mechanizmu, który macOS sam wykorzystuje do uwierzytelniania .

Co te przypadki mówią o bezpieczeństwie Maców?

Notaryzacja nie jest pełnym audytem aplikacji

CrashStealer pokazuje, że napastnicy mogą uzyskać podpis i notaryzację złośliwej aplikacji, a następnie wykorzystać je do przejścia kontroli Gatekeepera . Notaryzacja zwiększa zaufanie do aplikacji, ale nie oznacza pełnego ręcznego audytu każdego elementu kodu. Unieważnienie certyfikatu przez Apple jest reakcją na zgłoszenie, a nie ochroną, która zawsze zapobiega pierwszemu uruchomieniu malware’u. Podobne nadużycia ważnych podpisów Apple obserwowano wcześniej w kampaniach związanych między innymi z MacSync i rodziną Odyssey Stealer .

Zaufane narzędzia mogą stać się elementem łańcucha ataku

PamStealer wykorzystuje fakt, że użytkownicy mogą uruchamiać AppleScript przez zaufaną aplikację systemową. Jamf wskazuje, że jest to znana, lecz wciąż niezałatana luka w modelu ochrony używanym przez Script Editor . Dla użytkownika kluczowy jest więc nie tylko sam komunikat macOS, ale także źródło pliku i instrukcja, która każe wykonać nietypową czynność, taką jak uruchomienie skryptu klawiszem Command-R.

Infostealery stają się bardziej wyspecjalizowane

Szyfrowanie AES-GCM w CrashStealerze i weryfikacja haseł przez PAM w PamStealerze wskazują na odejście od prostych, masowych narzędzi na rzecz bardziej dopracowanych i dyskretnych technik . Microsoft odnotował również szerszy trend wykorzystania przynęt socjotechnicznych typu „ClickFix” do kradzieży haseł z przeglądarek, portfeli kryptowalutowych, danych chmurowych i kluczy dostępu deweloperów .

Dla użytkowników praktyczny wniosek jest prosty: aplikacje na macOS należy pobierać z oficjalnych, sprawdzonych źródeł, dokładnie sprawdzać adres domeny i traktować podejrzliwie prośby o uruchomienie skryptu w Script Editorze lub przyznanie pełnego dostępu do dysku. Sam fakt, że aplikacja przechodzi kontrolę Gatekeepera, nie gwarantuje, że jej dystrybucja i zachowanie są bezpieczne.