Ameaça dupla no macOS: como CrashStealer e PamStealer burlam a segurança da Apple

Como dribla o Gatekeeper com um dropper notarizado. A cadeia de infecção começa com um aplicativo de primeiro estágio chamado Werkbit — um app assinado e notarizado pela Apple, com um Developer ID válido associado a "Emil Grigorov" ^TAJ. Como o serviço de notarização da Apple o aprovou, o Gatekeeper o trata como confiável e não exibe o aviso típico de "desenvolvedor não identificado" ^AJ. Quando o usuário baixa e abre o Werkbit manualmente, um script baixa a carga maliciosa real do CrashStealer em segundo plano ^TJ.

Dados e credenciais visadas. O CrashStealer coleta informações de várias partes do sistema:

• Credenciais de navegadores: Chrome, Firefox, Edge, Brave, Opera e Vivaldi ^TJ.
• Aproximadamente 14 gerenciadores de senhas, incluindo o 1Password ^TA.
• Cerca de 80 extensões de carteiras de criptomoedas e arquivos de carteira locais ^TA.
• Dados do Keychain do macOS e senhas do sistema ^TJ.

Principais táticas.

• Validação local da senha antes do roubo. O CrashStealer exibe para o usuário uma janela de diálogo falsa, estilizada como um pedido de senha legítimo do sistema. Se a senha estiver correta, o malware prossegue com o roubo, garantindo que o atacante receba uma credencial funcional ^TJ.
• Criptografia AES-GCM dos arquivos roubados antes de enviá-los a um servidor de comando e controle (C2), dificultando a detecção em nível de rede ^TJ.
• Persistência e disfarce. Após a infecção, o malware exibe uma tela falsa e convincente de relato de falhas, copia-se para ~/Library/Caches/com.apple.crashreporter/ e cria um LaunchAgent chamado com.apple.crashreporter.helper para sobreviver a reinicializações ^FB.
• O malware também solicita permissões de "Acesso Total ao Disco" para ampliar o que pode roubar ^F.

Reação da Apple. A Apple reverteu o certificado de assinatura do Werkbit depois que o Jamf notificou a empresa sobre o malware ^TA.

PamStealer: Um stealer em Rust que valida senhas usando a própria API PAM da Apple

O que é. O PamStealer é um infostealer de dois estágios para macOS, escrito em Rust e divulgado pelo Jamf em 2 de julho de 2026 ^AAS. Seu nome vem do uso inovador da API de Módulos de Autenticação Plugáveis (Pluggable Authentication Modules — PAM) da Apple para verificar senhas roubadas ^AMDA.

Distribuição e como dribla o Gatekeeper. O PamStealer é distribuído a partir de domínios que imitam (typosquatting) o legítimo gerenciador de área de transferência Maccy (ex.: maccyapp[.]com) ^MIA. O ataque explora uma brecha conhecida, mas sem correção, no Script Editor do macOS:

• A vítima baixa uma imagem de disco adulterada que contém um arquivo compilado .scpt (AppleScript) ^AAS.
• O golpe instrui o usuário a abrir o arquivo no Script Editor e pressionar Command-R para executá-lo ^AAS.
• Como o Script Editor é um aplicativo confiável do sistema, a proteção com.apple.quarantine do Gatekeeper é ignorada, e nenhum aviso é exibido ^MDA.

Dados e credenciais visadas. A carga maliciosa em Rust do segundo estágio rouba:

• Senhas de login do macOS (via PAM) e a senha de administrador local ^MA.
• Credenciais e cookies salvos nos navegadores ^AS.
• Conteúdo do Keychain do macOS ^AS.
• Arquivos de carteira Ethereum e chaves SSH ^SY.

Tática-chave — validação de senha via PAM. Esta é a inovação que dá nome ao PamStealer:

• Quando o macOS exibe um prompt de autenticação padrão ("Maccy quer fazer alterações"), o usuário digita a senha ^DA.
• Em vez de simplesmente capturar a senha, o PamStealer chama a própria API PAM da Apple (pam_start, pam_authenticate) para testar a senha contra a pilha de autenticação do sistema antes de registrá-la ^AMDA.
• Se a senha estiver correta, o malware a exfiltra e prossegue para roubar outras credenciais. Se estiver errada, ele pode exibir o prompt novamente ou abortar a operação, reduzindo o risco de desperdiçar recursos com uma credencial inválida ^DAS.
• Essa técnica deixa menos vestígios forenses do que keyloggers ou scrapers de memória comuns, pois usa a própria API da Apple para verificação, sem precisar interceptar chamadas de sistema ou ler buffers de memória ^DA.

Implicações mais amplas para ameaças de malware no Mac

• A notarização como arma. O CrashStealer demonstra que criminosos conseguem submeter apps maliciosos ao serviço de notarização da Apple e obter assinaturas que passam pelo Gatekeeper ^TJ. O processo de revogação da Apple é reativo, não preventivo — o malware pode se espalhar por dias ou semanas até o certificado ser revogado. Isso segue um padrão já observado em malwares anteriores, como MacSync e a família Odyssey Stealer, que também abusaram de assinaturas válidas de desenvolvedores Apple ^MFS.

• O Script Editor como ponto cego. Tanto o PamStealer quanto outras ameaças recentes ao macOS exploram o fato de que executar AppleScripts por meio de aplicativos confiáveis do sistema ignora completamente o Gatekeeper. O Jamf observa que esta é uma brecha documentada, mas ainda sem correção ^DA.

• Infostealers de Mac estão mais sofisticados. O uso de criptografia AES-GCM para dados exfiltrados (CrashStealer) e a validação via API PAM (PamStealer) mostram que os atacantes estão investindo em táticas personalizadas e furtivas, em vez de depender de malwares genéricos ^DTJ. A Microsoft também notou, em fevereiro de 2026, uma tendência mais ampla de infostealers para macOS, Python e multiplataforma usando golpes de engenharia social do tipo "ClickFix" para roubar senhas de navegadores, carteiras de cripto e credenciais de nuvem ^M.

• Validação de senha no dispositivo é um novo salto de confiabilidade. Em vez de apenas coletar senhas em massa ou chutar, ambos os stealers confirmam que a senha é válida na máquina da vítima antes de enviá-la para o atacante. Isso aumenta a taxa de sucesso do criminoso e reduz a chance de detecção por logins com falha ^TJ. É uma evolução significativa: infostealers típicos ou capturam o que é digitado ou usam técnicas como chamadas dscl ou security que podem falhar silenciosamente ou disparar alertas ^DS.