CrashStealer: стилер на C++, маскирующийся под Crash Reporter от Apple

Что это такое. CrashStealer — это стилер для macOS, написанный на C++. Впервые его обнаружили в начале июля 2026 года, а публичный отчёт Jamf вышел 13–14 июля . Вредонос маскируется под легитимный фреймворк Apple для отчётов о сбоях, называя свой бинарник CrashReporter.app и используя оригинальную иконку и метаданные, чтобы не вызывать подозрений .

Обход Gatekeeper через нотаризованный дроппер. Цепочка заражения начинается с приложения первой стадии под названием Werkbit — это подписанное и нотаризованное Apple приложение с действительным Developer ID на имя "Emil Grigorov" . Поскольку Apple одобрила его, Gatekeeper считает его доверенным и не показывает обычное предупреждение о "неизвестном разработчике" . Как только пользователь вручную скачивает и открывает Werkbit, скрипт в фоне загружает уже настоящую вредоносную нагрузку CrashStealer .

Целевые данные. CrashStealer собирает информацию по всей системе:

• Данные браузеров: Chrome, Firefox, Edge, Brave, Opera, Vivaldi .
• Около 14 менеджеров паролей, включая 1Password .
• Примерно 80 расширений для криптокошельков и локальные файлы кошельков .
• Данные связки ключей (Keychain) macOS и системные пароли .

Ключевые техники.

• Локальная проверка пароля перед отправкой. CrashStealer выводит поддельный системный диалог, стилизованный под Apple, с просьбой ввести пароль от Mac, затем проверяет его локально и только после этого начинает кражу — злоумышленник получает гарантированно рабочий пароль .
• Шифрование AES-GCM украденных файлов перед отправкой на C2-сервер, что усложняет детектирование на сетевом уровне .
• Постоянство и маскировка. После заражения вредонос показывает убедительный фальшивый экран отчёта о сбое, копирует себя в ~/Library/Caches/com.apple.crashreporter/ и создаёт LaunchAgent с именем com.apple.crashreporter.helper для переживания перезагрузок .
• Вредонос также запрашивает доступ к "Полному доступу к диску", чтобы расширить возможности кражи .

Реакция Apple. Apple отозвала сертификат подписи Werkbit после того, как Jamf сообщила о вредоносе .

PamStealer: стилер на Rust, проверяющий пароли через собственный PAM API Apple

Что это такое. PamStealer — это двухстадийный стилер для macOS, написанный на Rust. О его обнаружении Jamf сообщила 2 июля 2026 года . Название происходит от фирменной техники: использования Apple Pluggable Authentication Modules (PAM) API для проверки украденных паролей .

Распространение и обход Gatekeeper. PamStealer распространяется через опечатанные домены, имитирующие легитимный менеджер буфера обмена Maccy (например, maccyapp[.]com) . Атака обходит Gatekeeper через известную, но всё ещё неисправленную лазейку в macOS Script Editor:

• Жертва скачивает троянизированный образ диска, содержащий скомпилированный файл .scpt AppleScript .
• Инструкция предлагает пользователю открыть файл в Script Editor и нажать Command-R для запуска .
• Поскольку Script Editor — доверенное системное приложение, защита com.apple.quarantine не срабатывает, и предупреждение Gatekeeper не показывается .

Целевые данные. Вторая стадия на Rust крадёт:

• Пароли входа в macOS (через PAM) и пароль локального администратора .
• Сохранённые в браузере учётные данные, куки и содержимое буфера обмена .
• Содержимое связки ключей macOS .
• Файлы кошельков Ethereum и SSH-ключи .

Ключевая техника — проверка пароля через PAM. Это главная инновация PamStealer:

• Когда macOS показывает стандартный запрос авторизации ("Maccy wants to make changes"), пользователь вводит пароль .
• Вместо того чтобы просто перехватить его, PamStealer вызывает собственный PAM API Apple (pam_start, pam_authenticate) для проверки пароля в системе перед тем, как записать его .
• Если пароль верен, вредонос отправляет его и приступает к сбору остальных данных. Если нет — может запросить его снова или прерваться, экономя ресурсы .
• Эта техника оставляет меньше криминалистических следов, чем традиционные кейлоггеры или снифферы памяти, так как использует легитимный API Apple вместо перехвата системных вызовов .

Глобальные последствия для угроз на Mac

• Нотаризация как оружие. CrashStealer показывает, что злоумышленники могут успешно отправлять вредоносные приложения в сервис нотаризации Apple и получать подписи, проходящие Gatekeeper . Процесс отзыва сертификатов — реактивный, а не превентивный: вредонос может распространяться днями или неделями, пока сертификат не будет заблокирован. Это продолжает тенденцию, начатую более ранними вредоносами, такими как MacSync и семейство Odyssey Stealer .

• Script Editor как слепое пятно. И PamStealer, и растущее число других угроз для macOS используют тот факт, что запуск AppleScript через доверенные системные приложения полностью обходит Gatekeeper. Jamf отмечает, что это известный, но всё ещё неисправленный пробел в защите .

• Стилеры для Mac становятся сложнее. Использование шифрования AES-GCM для украденных данных (CrashStealer) и проверки через PAM API (PamStealer) показывает, что атакующие вкладывают ресурсы в создание собственного, скрытного инструментария, а не используют готовое вредоносное ПО . Microsoft также отмечала в феврале 2026 года тенденцию роста числа стилеров для macOS, Python и кроссплатформенных стилеров, использующих социальную инженерию "ClickFix" для кражи паролей, криптокошельков и облачных данных .

• Проверка пароля на устройстве — новый уровень надёжности. Вместо того чтобы угадывать или собирать пароли оптом, оба стилера подтверждают их действительность на машине жертвы перед отправкой — это повышает процент успешных атак и снижает шансы на обнаружение из-за неудачных попыток входа . Это важная эволюция: обычные стилеры либо просто записывают всё, что вводит пользователь, либо используют команды dscl или security, которые могут завершаться ошибкой или вызывать подозрения .

CrashStealer: стилер на C++, маскирующийся под Crash Reporter от Apple

Что это такое. CrashStealer — это стилер для macOS, написанный на C++. Впервые его обнаружили в начале июля 2026 года, а публичный отчёт Jamf вышел 13–14 июля . Вредонос маскируется под легитимный фреймворк Apple для отчётов о сбоях, называя свой бинарник CrashReporter.app и используя оригинальную иконку и метаданные, чтобы не вызывать подозрений .

Обход Gatekeeper через нотаризованный дроппер. Цепочка заражения начинается с приложения первой стадии под названием Werkbit — это подписанное и нотаризованное Apple приложение с действительным Developer ID на имя "Emil Grigorov" . Поскольку Apple одобрила его, Gatekeeper считает его доверенным и не показывает обычное предупреждение о "неизвестном разработчике" . Как только пользователь вручную скачивает и открывает Werkbit, скрипт в фоне загружает уже настоящую вредоносную нагрузку CrashStealer .

Целевые данные. CrashStealer собирает информацию по всей системе:

• Данные браузеров: Chrome, Firefox, Edge, Brave, Opera, Vivaldi .
• Около 14 менеджеров паролей, включая 1Password .
• Примерно 80 расширений для криптокошельков и локальные файлы кошельков .
• Данные связки ключей (Keychain) macOS и системные пароли .

Ключевые техники.

• Локальная проверка пароля перед отправкой. CrashStealer выводит поддельный системный диалог, стилизованный под Apple, с просьбой ввести пароль от Mac, затем проверяет его локально и только после этого начинает кражу — злоумышленник получает гарантированно рабочий пароль .
• Шифрование AES-GCM украденных файлов перед отправкой на C2-сервер, что усложняет детектирование на сетевом уровне .
• Постоянство и маскировка. После заражения вредонос показывает убедительный фальшивый экран отчёта о сбое, копирует себя в ~/Library/Caches/com.apple.crashreporter/ и создаёт LaunchAgent с именем com.apple.crashreporter.helper для переживания перезагрузок .
• Вредонос также запрашивает доступ к "Полному доступу к диску", чтобы расширить возможности кражи .

Реакция Apple. Apple отозвала сертификат подписи Werkbit после того, как Jamf сообщила о вредоносе .

PamStealer: стилер на Rust, проверяющий пароли через собственный PAM API Apple

Что это такое. PamStealer — это двухстадийный стилер для macOS, написанный на Rust. О его обнаружении Jamf сообщила 2 июля 2026 года . Название происходит от фирменной техники: использования Apple Pluggable Authentication Modules (PAM) API для проверки украденных паролей .

Распространение и обход Gatekeeper. PamStealer распространяется через опечатанные домены, имитирующие легитимный менеджер буфера обмена Maccy (например, maccyapp[.]com) . Атака обходит Gatekeeper через известную, но всё ещё неисправленную лазейку в macOS Script Editor:

• Жертва скачивает троянизированный образ диска, содержащий скомпилированный файл .scpt AppleScript .
• Инструкция предлагает пользователю открыть файл в Script Editor и нажать Command-R для запуска .
• Поскольку Script Editor — доверенное системное приложение, защита com.apple.quarantine не срабатывает, и предупреждение Gatekeeper не показывается .

Целевые данные. Вторая стадия на Rust крадёт:

• Пароли входа в macOS (через PAM) и пароль локального администратора .
• Сохранённые в браузере учётные данные, куки и содержимое буфера обмена .
• Содержимое связки ключей macOS .
• Файлы кошельков Ethereum и SSH-ключи .

Ключевая техника — проверка пароля через PAM. Это главная инновация PamStealer:

• Когда macOS показывает стандартный запрос авторизации ("Maccy wants to make changes"), пользователь вводит пароль .
• Вместо того чтобы просто перехватить его, PamStealer вызывает собственный PAM API Apple (pam_start, pam_authenticate) для проверки пароля в системе перед тем, как записать его .
• Если пароль верен, вредонос отправляет его и приступает к сбору остальных данных. Если нет — может запросить его снова или прерваться, экономя ресурсы .
• Эта техника оставляет меньше криминалистических следов, чем традиционные кейлоггеры или снифферы памяти, так как использует легитимный API Apple вместо перехвата системных вызовов .

Глобальные последствия для угроз на Mac

• Нотаризация как оружие. CrashStealer показывает, что злоумышленники могут успешно отправлять вредоносные приложения в сервис нотаризации Apple и получать подписи, проходящие Gatekeeper . Процесс отзыва сертификатов — реактивный, а не превентивный: вредонос может распространяться днями или неделями, пока сертификат не будет заблокирован. Это продолжает тенденцию, начатую более ранними вредоносами, такими как MacSync и семейство Odyssey Stealer .

• Script Editor как слепое пятно. И PamStealer, и растущее число других угроз для macOS используют тот факт, что запуск AppleScript через доверенные системные приложения полностью обходит Gatekeeper. Jamf отмечает, что это известный, но всё ещё неисправленный пробел в защите .

• Стилеры для Mac становятся сложнее. Использование шифрования AES-GCM для украденных данных (CrashStealer) и проверки через PAM API (PamStealer) показывает, что атакующие вкладывают ресурсы в создание собственного, скрытного инструментария, а не используют готовое вредоносное ПО . Microsoft также отмечала в феврале 2026 года тенденцию роста числа стилеров для macOS, Python и кроссплатформенных стилеров, использующих социальную инженерию "ClickFix" для кражи паролей, криптокошельков и облачных данных .

• Проверка пароля на устройстве — новый уровень надёжности. Вместо того чтобы угадывать или собирать пароли оптом, оба стилера подтверждают их действительность на машине жертвы перед отправкой — это повышает процент успешных атак и снижает шансы на обнаружение из-за неудачных попыток входа . Это важная эволюция: обычные стилеры либо просто записывают всё, что вводит пользователь, либо используют команды dscl или security, которые могут завершаться ошибкой или вызывать подозрения .