CrashStealer и PamStealer: новые macOS-стилеры, которые обходят защиту Apple и крадут данные

Два недавно задокументированных стилера для macOS — CrashStealer и PamStealer — представляют собой новую веху в эволюции вредоносного ПО для Mac. Оба были обнаружены командой Jamf Threat Labs в июле 2026 года. Они не только обходят защиту Gatekeeper, но и крадут широкий спектр данных, включая криптокошельки и пароли, и, что самое примечательное, проверяют пароль жертвы на устройстве перед отправкой, гарантируя злоумышленнику рабочий доступ ^CATJ.

CrashStealer: стилер на C++, маскирующийся под Crash Reporter от Apple

Что это такое. CrashStealer — это стилер для macOS, написанный на C++. Впервые его обнаружили в начале июля 2026 года, а публичный отчёт Jamf вышел 13–14 июля ^TAJ. Вредонос маскируется под легитимный фреймворк Apple для отчётов о сбоях, называя свой бинарник CrashReporter.app и используя оригинальную иконку и метаданные, чтобы не вызывать подозрений ^AB.

Обход Gatekeeper через нотаризованный дроппер. Цепочка заражения начинается с приложения первой стадии под названием Werkbit — это подписанное и нотаризованное Apple приложение с действительным Developer ID на имя "Emil Grigorov" ^TAJ. Поскольку Apple одобрила его, Gatekeeper считает его доверенным и не показывает обычное предупреждение о "неизвестном разработчике" ^AJ. Как только пользователь вручную скачивает и открывает Werkbit, скрипт в фоне загружает уже настоящую вредоносную нагрузку CrashStealer ^TJ.

Целевые данные. CrashStealer собирает информацию по всей системе:

• Данные браузеров: Chrome, Firefox, Edge, Brave, Opera, Vivaldi ^TJ.
• Около 14 менеджеров паролей, включая 1Password ^TA.
• Примерно 80 расширений для криптокошельков и локальные файлы кошельков ^TA.
• Данные связки ключей (Keychain) macOS и системные пароли ^TJ.

Ключевые техники.

• Локальная проверка пароля перед отправкой. CrashStealer выводит поддельный системный диалог, стилизованный под Apple, с просьбой ввести пароль от Mac, затем проверяет его локально и только после этого начинает кражу — злоумышленник получает гарантированно рабочий пароль ^TJ.
• Шифрование AES-GCM украденных файлов перед отправкой на C2-сервер, что усложняет детектирование на сетевом уровне ^TJ.
• Постоянство и маскировка. После заражения вредонос показывает убедительный фальшивый экран отчёта о сбое, копирует себя в ~/Library/Caches/com.apple.crashreporter/ и создаёт LaunchAgent с именем com.apple.crashreporter.helper для переживания перезагрузок ^FB.
• Вредонос также запрашивает доступ к "Полному доступу к диску", чтобы расширить возможности кражи ^F.

Реакция Apple. Apple отозвала сертификат подписи Werkbit после того, как Jamf сообщила о вредоносе ^TA.

PamStealer: стилер на Rust, проверяющий пароли через собственный PAM API Apple

Что это такое. PamStealer — это двухстадийный стилер для macOS, написанный на Rust. О его обнаружении Jamf сообщила 2 июля 2026 года ^AAS. Название происходит от фирменной техники: использования Apple Pluggable Authentication Modules (PAM) API для проверки украденных паролей ^AMDA.

Распространение и обход Gatekeeper. PamStealer распространяется через опечатанные домены, имитирующие легитимный менеджер буфера обмена Maccy (например, maccyapp[.]com) ^MIA. Атака обходит Gatekeeper через известную, но всё ещё неисправленную лазейку в macOS Script Editor:

• Жертва скачивает троянизированный образ диска, содержащий скомпилированный файл .scpt AppleScript ^AAS.
• Инструкция предлагает пользователю открыть файл в Script Editor и нажать Command-R для запуска ^AAS.
• Поскольку Script Editor — доверенное системное приложение, защита com.apple.quarantine не срабатывает, и предупреждение Gatekeeper не показывается ^MDA.

Целевые данные. Вторая стадия на Rust крадёт:

• Пароли входа в macOS (через PAM) и пароль локального администратора ^MA.
• Сохранённые в браузере учётные данные, куки и содержимое буфера обмена ^AS.
• Содержимое связки ключей macOS ^AS.
• Файлы кошельков Ethereum и SSH-ключи ^SY.

Ключевая техника — проверка пароля через PAM. Это главная инновация PamStealer:

• Когда macOS показывает стандартный запрос авторизации ("Maccy wants to make changes"), пользователь вводит пароль ^DA.
• Вместо того чтобы просто перехватить его, PamStealer вызывает собственный PAM API Apple (pam_start, pam_authenticate) для проверки пароля в системе перед тем, как записать его ^AMDA.
• Если пароль верен, вредонос отправляет его и приступает к сбору остальных данных. Если нет — может запросить его снова или прерваться, экономя ресурсы ^DAS.
• Эта техника оставляет меньше криминалистических следов, чем традиционные кейлоггеры или снифферы памяти, так как использует легитимный API Apple вместо перехвата системных вызовов ^DA.

Глобальные последствия для угроз на Mac

• Нотаризация как оружие. CrashStealer показывает, что злоумышленники могут успешно отправлять вредоносные приложения в сервис нотаризации Apple и получать подписи, проходящие Gatekeeper ^TJ. Процесс отзыва сертификатов — реактивный, а не превентивный: вредонос может распространяться днями или неделями, пока сертификат не будет заблокирован. Это продолжает тенденцию, начатую более ранними вредоносами, такими как MacSync и семейство Odyssey Stealer ^MFS.

• Script Editor как слепое пятно. И PamStealer, и растущее число других угроз для macOS используют тот факт, что запуск AppleScript через доверенные системные приложения полностью обходит Gatekeeper. Jamf отмечает, что это известный, но всё ещё неисправленный пробел в защите ^DA.

• Стилеры для Mac становятся сложнее. Использование шифрования AES-GCM для украденных данных (CrashStealer) и проверки через PAM API (PamStealer) показывает, что атакующие вкладывают ресурсы в создание собственного, скрытного инструментария, а не используют готовое вредоносное ПО ^DTJ. Microsoft также отмечала в феврале 2026 года тенденцию роста числа стилеров для macOS, Python и кроссплатформенных стилеров, использующих социальную инженерию "ClickFix" для кражи паролей, криптокошельков и облачных данных ^M.

• Проверка пароля на устройстве — новый уровень надёжности. Вместо того чтобы угадывать или собирать пароли оптом, оба стилера подтверждают их действительность на машине жертвы перед отправкой — это повышает процент успешных атак и снижает шансы на обнаружение из-за неудачных попыток входа ^TJ. Это важная эволюция: обычные стилеры либо просто записывают всё, что вводит пользователь, либо используют команды dscl или security, которые могут завершаться ошибкой или вызывать подозрения ^DS.