CrashStealer: Um infostealer em C++ que se passa pelo relator de falhas da Apple

O que é. O CrashStealer é um infostealer escrito em C++ para macOS, detectado pela primeira vez pelo Jamf Threat Labs no início de julho de 2026 e documentado publicamente em 13 e 14 de julho . Ele se disfarça de um componente legítimo de relato de falhas da Apple ao nomear seu binário de CrashReporter.app e usar o ícone e metadados da ferramenta original para não levantar suspeitas .

Como dribla o Gatekeeper com um dropper notarizado. A cadeia de infecção começa com um aplicativo de primeiro estágio chamado Werkbit — um app assinado e notarizado pela Apple, com um Developer ID válido associado a "Emil Grigorov" . Como o serviço de notarização da Apple o aprovou, o Gatekeeper o trata como confiável e não exibe o aviso típico de "desenvolvedor não identificado" . Quando o usuário baixa e abre o Werkbit manualmente, um script baixa a carga maliciosa real do CrashStealer em segundo plano .

Dados e credenciais visadas. O CrashStealer coleta informações de várias partes do sistema:

• Credenciais de navegadores: Chrome, Firefox, Edge, Brave, Opera e Vivaldi .
• Aproximadamente 14 gerenciadores de senhas, incluindo o 1Password .
• Cerca de 80 extensões de carteiras de criptomoedas e arquivos de carteira locais .
• Dados do Keychain do macOS e senhas do sistema .

Principais táticas.

• Validação local da senha antes do roubo. O CrashStealer exibe para o usuário uma janela de diálogo falsa, estilizada como um pedido de senha legítimo do sistema. Se a senha estiver correta, o malware prossegue com o roubo, garantindo que o atacante receba uma credencial funcional .
• Criptografia AES-GCM dos arquivos roubados antes de enviá-los a um servidor de comando e controle (C2), dificultando a detecção em nível de rede .
• Persistência e disfarce. Após a infecção, o malware exibe uma tela falsa e convincente de relato de falhas, copia-se para ~/Library/Caches/com.apple.crashreporter/ e cria um LaunchAgent chamado com.apple.crashreporter.helper para sobreviver a reinicializações .
• O malware também solicita permissões de "Acesso Total ao Disco" para ampliar o que pode roubar .

Reação da Apple. A Apple reverteu o certificado de assinatura do Werkbit depois que o Jamf notificou a empresa sobre o malware .

PamStealer: Um stealer em Rust que valida senhas usando a própria API PAM da Apple

O que é. O PamStealer é um infostealer de dois estágios para macOS, escrito em Rust e divulgado pelo Jamf em 2 de julho de 2026 . Seu nome vem do uso inovador da API de Módulos de Autenticação Plugáveis (Pluggable Authentication Modules — PAM) da Apple para verificar senhas roubadas .

Distribuição e como dribla o Gatekeeper. O PamStealer é distribuído a partir de domínios que imitam (typosquatting) o legítimo gerenciador de área de transferência Maccy (ex.: maccyapp[.]com) . O ataque explora uma brecha conhecida, mas sem correção, no Script Editor do macOS:

• A vítima baixa uma imagem de disco adulterada que contém um arquivo compilado .scpt (AppleScript) .
• O golpe instrui o usuário a abrir o arquivo no Script Editor e pressionar Command-R para executá-lo .
• Como o Script Editor é um aplicativo confiável do sistema, a proteção com.apple.quarantine do Gatekeeper é ignorada, e nenhum aviso é exibido .

Dados e credenciais visadas. A carga maliciosa em Rust do segundo estágio rouba:

• Senhas de login do macOS (via PAM) e a senha de administrador local .
• Credenciais e cookies salvos nos navegadores .
• Conteúdo do Keychain do macOS .
• Arquivos de carteira Ethereum e chaves SSH .

Tática-chave — validação de senha via PAM. Esta é a inovação que dá nome ao PamStealer:

• Quando o macOS exibe um prompt de autenticação padrão ("Maccy quer fazer alterações"), o usuário digita a senha .
• Em vez de simplesmente capturar a senha, o PamStealer chama a própria API PAM da Apple (pam_start, pam_authenticate) para testar a senha contra a pilha de autenticação do sistema antes de registrá-la .
• Se a senha estiver correta, o malware a exfiltra e prossegue para roubar outras credenciais. Se estiver errada, ele pode exibir o prompt novamente ou abortar a operação, reduzindo o risco de desperdiçar recursos com uma credencial inválida .
• Essa técnica deixa menos vestígios forenses do que keyloggers ou scrapers de memória comuns, pois usa a própria API da Apple para verificação, sem precisar interceptar chamadas de sistema ou ler buffers de memória .

Implicações mais amplas para ameaças de malware no Mac

• A notarização como arma. O CrashStealer demonstra que criminosos conseguem submeter apps maliciosos ao serviço de notarização da Apple e obter assinaturas que passam pelo Gatekeeper . O processo de revogação da Apple é reativo, não preventivo — o malware pode se espalhar por dias ou semanas até o certificado ser revogado. Isso segue um padrão já observado em malwares anteriores, como MacSync e a família Odyssey Stealer, que também abusaram de assinaturas válidas de desenvolvedores Apple .

• O Script Editor como ponto cego. Tanto o PamStealer quanto outras ameaças recentes ao macOS exploram o fato de que executar AppleScripts por meio de aplicativos confiáveis do sistema ignora completamente o Gatekeeper. O Jamf observa que esta é uma brecha documentada, mas ainda sem correção .

• Infostealers de Mac estão mais sofisticados. O uso de criptografia AES-GCM para dados exfiltrados (CrashStealer) e a validação via API PAM (PamStealer) mostram que os atacantes estão investindo em táticas personalizadas e furtivas, em vez de depender de malwares genéricos . A Microsoft também notou, em fevereiro de 2026, uma tendência mais ampla de infostealers para macOS, Python e multiplataforma usando golpes de engenharia social do tipo "ClickFix" para roubar senhas de navegadores, carteiras de cripto e credenciais de nuvem .

• Validação de senha no dispositivo é um novo salto de confiabilidade. Em vez de apenas coletar senhas em massa ou chutar, ambos os stealers confirmam que a senha é válida na máquina da vítima antes de enviá-la para o atacante. Isso aumenta a taxa de sucesso do criminoso e reduz a chance de detecção por logins com falha . É uma evolução significativa: infostealers típicos ou capturam o que é digitado ou usam técnicas como chamadas dscl ou security que podem falhar silenciosamente ou disparar alertas .

CrashStealer: Um infostealer em C++ que se passa pelo relator de falhas da Apple

O que é. O CrashStealer é um infostealer escrito em C++ para macOS, detectado pela primeira vez pelo Jamf Threat Labs no início de julho de 2026 e documentado publicamente em 13 e 14 de julho . Ele se disfarça de um componente legítimo de relato de falhas da Apple ao nomear seu binário de CrashReporter.app e usar o ícone e metadados da ferramenta original para não levantar suspeitas .

Como dribla o Gatekeeper com um dropper notarizado. A cadeia de infecção começa com um aplicativo de primeiro estágio chamado Werkbit — um app assinado e notarizado pela Apple, com um Developer ID válido associado a "Emil Grigorov" . Como o serviço de notarização da Apple o aprovou, o Gatekeeper o trata como confiável e não exibe o aviso típico de "desenvolvedor não identificado" . Quando o usuário baixa e abre o Werkbit manualmente, um script baixa a carga maliciosa real do CrashStealer em segundo plano .

Dados e credenciais visadas. O CrashStealer coleta informações de várias partes do sistema:

• Credenciais de navegadores: Chrome, Firefox, Edge, Brave, Opera e Vivaldi .
• Aproximadamente 14 gerenciadores de senhas, incluindo o 1Password .
• Cerca de 80 extensões de carteiras de criptomoedas e arquivos de carteira locais .
• Dados do Keychain do macOS e senhas do sistema .

Principais táticas.

• Validação local da senha antes do roubo. O CrashStealer exibe para o usuário uma janela de diálogo falsa, estilizada como um pedido de senha legítimo do sistema. Se a senha estiver correta, o malware prossegue com o roubo, garantindo que o atacante receba uma credencial funcional .
• Criptografia AES-GCM dos arquivos roubados antes de enviá-los a um servidor de comando e controle (C2), dificultando a detecção em nível de rede .
• Persistência e disfarce. Após a infecção, o malware exibe uma tela falsa e convincente de relato de falhas, copia-se para ~/Library/Caches/com.apple.crashreporter/ e cria um LaunchAgent chamado com.apple.crashreporter.helper para sobreviver a reinicializações .
• O malware também solicita permissões de "Acesso Total ao Disco" para ampliar o que pode roubar .

Reação da Apple. A Apple reverteu o certificado de assinatura do Werkbit depois que o Jamf notificou a empresa sobre o malware .

PamStealer: Um stealer em Rust que valida senhas usando a própria API PAM da Apple

O que é. O PamStealer é um infostealer de dois estágios para macOS, escrito em Rust e divulgado pelo Jamf em 2 de julho de 2026 . Seu nome vem do uso inovador da API de Módulos de Autenticação Plugáveis (Pluggable Authentication Modules — PAM) da Apple para verificar senhas roubadas .

Distribuição e como dribla o Gatekeeper. O PamStealer é distribuído a partir de domínios que imitam (typosquatting) o legítimo gerenciador de área de transferência Maccy (ex.: maccyapp[.]com) . O ataque explora uma brecha conhecida, mas sem correção, no Script Editor do macOS:

• A vítima baixa uma imagem de disco adulterada que contém um arquivo compilado .scpt (AppleScript) .
• O golpe instrui o usuário a abrir o arquivo no Script Editor e pressionar Command-R para executá-lo .
• Como o Script Editor é um aplicativo confiável do sistema, a proteção com.apple.quarantine do Gatekeeper é ignorada, e nenhum aviso é exibido .

Dados e credenciais visadas. A carga maliciosa em Rust do segundo estágio rouba:

• Senhas de login do macOS (via PAM) e a senha de administrador local .
• Credenciais e cookies salvos nos navegadores .
• Conteúdo do Keychain do macOS .
• Arquivos de carteira Ethereum e chaves SSH .

Tática-chave — validação de senha via PAM. Esta é a inovação que dá nome ao PamStealer:

• Quando o macOS exibe um prompt de autenticação padrão ("Maccy quer fazer alterações"), o usuário digita a senha .
• Em vez de simplesmente capturar a senha, o PamStealer chama a própria API PAM da Apple (pam_start, pam_authenticate) para testar a senha contra a pilha de autenticação do sistema antes de registrá-la .
• Se a senha estiver correta, o malware a exfiltra e prossegue para roubar outras credenciais. Se estiver errada, ele pode exibir o prompt novamente ou abortar a operação, reduzindo o risco de desperdiçar recursos com uma credencial inválida .
• Essa técnica deixa menos vestígios forenses do que keyloggers ou scrapers de memória comuns, pois usa a própria API da Apple para verificação, sem precisar interceptar chamadas de sistema ou ler buffers de memória .

Implicações mais amplas para ameaças de malware no Mac

• A notarização como arma. O CrashStealer demonstra que criminosos conseguem submeter apps maliciosos ao serviço de notarização da Apple e obter assinaturas que passam pelo Gatekeeper . O processo de revogação da Apple é reativo, não preventivo — o malware pode se espalhar por dias ou semanas até o certificado ser revogado. Isso segue um padrão já observado em malwares anteriores, como MacSync e a família Odyssey Stealer, que também abusaram de assinaturas válidas de desenvolvedores Apple .

• O Script Editor como ponto cego. Tanto o PamStealer quanto outras ameaças recentes ao macOS exploram o fato de que executar AppleScripts por meio de aplicativos confiáveis do sistema ignora completamente o Gatekeeper. O Jamf observa que esta é uma brecha documentada, mas ainda sem correção .

• Infostealers de Mac estão mais sofisticados. O uso de criptografia AES-GCM para dados exfiltrados (CrashStealer) e a validação via API PAM (PamStealer) mostram que os atacantes estão investindo em táticas personalizadas e furtivas, em vez de depender de malwares genéricos . A Microsoft também notou, em fevereiro de 2026, uma tendência mais ampla de infostealers para macOS, Python e multiplataforma usando golpes de engenharia social do tipo "ClickFix" para roubar senhas de navegadores, carteiras de cripto e credenciais de nuvem .

• Validação de senha no dispositivo é um novo salto de confiabilidade. Em vez de apenas coletar senhas em massa ou chutar, ambos os stealers confirmam que a senha é válida na máquina da vítima antes de enviá-la para o atacante. Isso aumenta a taxa de sucesso do criminoso e reduz a chance de detecção por logins com falha . É uma evolução significativa: infostealers típicos ou capturam o que é digitado ou usam técnicas como chamadas dscl ou security que podem falhar silenciosamente ou disparar alertas .