CrashStealer: Apple’ın çökme raporlayıcısını taklit eden C++ zararlısı

Nasıl çalışıyor?

CrashStealer, Jamf Threat Labs’ın temmuz ayının başında tespit ettiği ve 13–14 Temmuz 2026’da kamuoyuna duyurduğu C++ ile geliştirilmiş bir macOS bilgi hırsızı . Kötü amaçlı yazılım, Apple’ın meşru çökme raporlama bileşenini taklit etmek için ikili dosyasına CrashReporter.app adını veriyor; ayrıca gerçek aracın simgesini ve meta verilerini kullanarak şüphe çekmemeye çalışıyor .

Noterlenmiş yükleyici Gatekeeper’ı nasıl aşıyor?

Saldırı zincirinin ilk aşamasında Werkbit adlı bir uygulama kullanılıyor. Uygulama imzalı ve Apple tarafından noterlenmiş; ayrıca “Emil Grigorov” ile ilişkilendirilen geçerli bir Developer ID taşıyor . Apple’ın noterleme sürecinden geçtiği için Gatekeeper uygulamayı güvenilir kabul ediyor ve kullanıcının alışık olduğu “tanımlanamayan geliştirici” uyarısını göstermiyor .

Kullanıcı Werkbit’i internetten indirip elle açtıktan sonra bir betik, gerçek CrashStealer yükünü arka planda indiriyor . Bu durum, noterlemenin bir uygulamanın her yönünün güvenli olduğu anlamına gelmediğini de ortaya koyuyor: Gatekeeper ve noterleme, geliştiricinin kimliğini ve uygulamanın belirli güvenlik koşullarını kontrol etse de eksiksiz bir kod incelemesi yerine geçmiyor .

Hangi verileri hedefliyor?

CrashStealer’ın topladığı veriler arasında şunlar bulunuyor:

• Chrome, Firefox, Edge, Brave, Opera ve Vivaldi’deki tarayıcı kimlik bilgileri .
• 1Password’ün de aralarında bulunduğu yaklaşık 14 parola yöneticisindeki veriler .
• Yaklaşık 80 kripto para cüzdanı tarayıcı uzantısı ve yerel cüzdan dosyaları .
• macOS Keychain verileri ve sistem parolaları .

Öne çıkan teknikler

• Göndermeden önce yerel parola doğrulaması: CrashStealer, Apple’ın gerçek kimlik doğrulama penceresine benzeyen sahte bir sistem iletişim kutusuyla Mac giriş parolasını istiyor. Parolayı çalmadan önce cihaz üzerinde doğruluyor ve böylece saldırgana çalışır durumdaki bir kimlik bilgisi sağlamayı hedefliyor .
• AES-GCM şifrelemesi: Çalınan dosyalar uzak bir komuta ve kontrol sunucusuna gönderilmeden önce AES-GCM ile şifreleniyor. Bu, ağ trafiği üzerinden tespit edilmelerini zorlaştırabiliyor .
• Kalıcılık ve kamuflaj: Zararlı yazılım, gerçek görüntüyü sürdürmek için inandırıcı bir sahte çökme raporu ekranı gösteriyor; kendisini ~/Library/Caches/com.apple.crashreporter/ dizinine kopyalıyor ve yeniden başlatmaların ardından çalışabilmek için com.apple.crashreporter.helper adlı bir LaunchAgent oluşturuyor .
• Geniş izin talebi: CrashStealer, erişebileceği verileri artırmak için “Tam Disk Erişimi” izni de isteyebiliyor .

Jamf’ın bildiriminden sonra Apple, Werkbit ile ilişkili imzalama sertifikasını iptal etti . Ancak sertifika iptali, uygulama zaten dağıtıldıktan sonra devreye giren tepkisel bir önlem niteliğinde.

PamStealer: Parolayı Apple’ın PAM API’siyle kontrol eden Rust tabanlı hırsız

Sahte Maccy uygulaması üzerinden dağıtılıyor

PamStealer, Jamf tarafından 2 Temmuz 2026’da açıklanan, Rust ile geliştirilmiş iki aşamalı bir macOS bilgi hırsızı . Adını, çalınan parolaları doğrulamak için Apple’ın Takılabilir Kimlik Doğrulama Modülleri anlamına gelen PAM (Pluggable Authentication Modules) API’sini kullanmasından alıyor .

Zararlı yazılım, Mac’ler için geliştirilen meşru pano yöneticisi Maccy’yi taklit eden yazım hatalı alan adları üzerinden dağıtılıyor. Örneklerden biri maccyapp[.]com .

Saldırı zinciri genel olarak şöyle ilerliyor:

1. Kurban, içinde derlenmiş bir .scpt AppleScript dosyası bulunan trojanlaştırılmış disk imajını indiriyor .
2. Sahte yönlendirme, kullanıcının dosyayı Script Editor’da açmasını ve çalıştırmak için Command-R tuşlarına basmasını istiyor .
3. Script Editor güvenilir bir sistem uygulaması olduğu için macOS’un com.apple.quarantine korumaları atlanabiliyor ve olağan Gatekeeper uyarısı görünmeyebiliyor .

Buradaki kritik unsur, saldırının tamamen görünmez bir istismar gerektirmemesi; kullanıcının dosyayı açıp çalıştırması ve birden fazla istemi onaylaması gerekiyor. Bu nedenle resmi olmayan indirme siteleri ve “uygulamayı çalıştırmak için şu tuşlara basın” gibi yönlendirmeler önemli uyarı işaretleri.

Hedef alınan bilgiler

İkinci aşamadaki Rust yükü şu verileri çalabiliyor:

• PAM üzerinden macOS giriş parolaları ve yerel yönetici parolası .
• Tarayıcılarda kayıtlı kimlik bilgileri, çerezler ve pano içeriği .
• macOS Keychain içeriği .
• Ethereum cüzdan dosyaları ve SSH anahtarları .

PamStealer’ın ayırt edici özelliği: PAM ile parola doğrulama

PamStealer’ın en dikkat çekici davranışı, kullanıcının yazdığı parolayı yalnızca kaydetmekle yetinmemesi. Örneğin kullanıcı, “Maccy değişiklik yapmak istiyor” şeklindeki standart görünümlü bir kimlik doğrulama istemine parolasını girdiğinde, zararlı yazılım Apple’ın PAM API’sindeki pam_start ve pam_authenticate çağrılarını kullanarak parolanın sistemin kimlik doğrulama zincirinde geçerli olup olmadığını test ediyor .

Parola doğruysa bilgi dışarı gönderiliyor ve diğer kimlik bilgileri toplanmaya devam ediliyor. Yanlışsa PamStealer yeniden istemde bulunabiliyor veya işlemi sonlandırabiliyor . Bu yaklaşım, saldırganların geçersiz parolalarla zaman kaybetmesini azaltırken ele geçirilen hesaplarda başarılı olma olasılığını artırıyor.

Teknik açıdan da dikkat çekici bir fark var: PamStealer, parolayı doğrulamak için işletim sisteminin kendi API’sini kullanıyor. Bu nedenle tipik tuş kaydedicilere veya bellek tarayıcılarına kıyasla daha az adli iz bırakabileceği değerlendiriliyor .

Mac güvenliği açısından daha geniş tablo

Geçerli imzalar güven zincirinin kötüye kullanılabileceğini gösteriyor

CrashStealer vakası, saldırganların kötü amaçlı bir uygulamayı Apple’ın noterleme sürecinden geçirerek Gatekeeper’dan geçen bir imza elde edebildiğini gösteriyor . Apple daha sonra ilgili sertifikayı iptal etmiş olsa da bu tür müdahaleler, kötü amaçlı yazılımın ilk dağıtımını otomatik olarak engellemiyor. MacSync ve Odyssey Stealer ailesiyle ilişkilendirilen önceki örneklerde de geçerli Apple geliştirici imzalarının kötüye kullanıldığı bildirilmişti .

Script Editor, saldırı zincirlerinde kör nokta olarak kullanılıyor

PamStealer ve son dönemdeki başka macOS tehditleri, AppleScript’leri güvenilir sistem uygulamaları üzerinden çalıştırmanın Gatekeeper kontrollerini etkisizleştirebilmesinden yararlanıyor. Jamf, bu durumu bilinen ancak hâlâ düzeltilmemiş bir boşluk olarak nitelendiriyor .

Bilgi hırsızları daha özelleşmiş hale geliyor

CrashStealer’ın AES-GCM şifrelemesi ve PamStealer’ın PAM API’siyle parola doğrulaması, saldırganların basit ve hazır araçlar yerine daha özel, sessiz çalışmaya odaklanan teknikler geliştirdiğine işaret ediyor . Microsoft da Şubat 2026’da macOS, Python ve platformlar arası bilgi hırsızlarının “ClickFix” türü sosyal mühendislik tuzaklarıyla tarayıcı parolalarını, kripto cüzdanlarını ve bulut kimlik bilgilerini hedef aldığı daha geniş bir eğilime dikkat çekmişti .

Parolayı cihaz üzerinde kontrol etmek saldırganlara güvenilirlik kazandırıyor

Her iki zararlı yazılımın ortak noktası, ele geçirilen parolayı dışarı aktarmadan önce kurbanın Mac’inde doğrulaması. Bu, saldırganların çalışmayan parolaları elemekle kalmıyor; başarısız giriş denemelerinden kaynaklanabilecek dikkat çekici izleri de azaltabiliyor .

Mac kullanıcıları açısından temel ders şu: Apple imzası taşıyan veya Gatekeeper uyarısı göstermeyen bir uygulama otomatik olarak güvenli kabul edilmemeli. Özellikle uygulamaları yalnızca güvenilir kaynaklardan indirmek, alan adlarını dikkatle kontrol etmek ve bir dosyayı çalıştırmak için alışılmadık klavye kısayolları ya da ek izinler isteyen yönlendirmilere karşı temkinli olmak önem taşıyor .

CrashStealer: Apple’ın çökme raporlayıcısını taklit eden C++ zararlısı

Nasıl çalışıyor?

CrashStealer, Jamf Threat Labs’ın temmuz ayının başında tespit ettiği ve 13–14 Temmuz 2026’da kamuoyuna duyurduğu C++ ile geliştirilmiş bir macOS bilgi hırsızı . Kötü amaçlı yazılım, Apple’ın meşru çökme raporlama bileşenini taklit etmek için ikili dosyasına CrashReporter.app adını veriyor; ayrıca gerçek aracın simgesini ve meta verilerini kullanarak şüphe çekmemeye çalışıyor .

Noterlenmiş yükleyici Gatekeeper’ı nasıl aşıyor?

Saldırı zincirinin ilk aşamasında Werkbit adlı bir uygulama kullanılıyor. Uygulama imzalı ve Apple tarafından noterlenmiş; ayrıca “Emil Grigorov” ile ilişkilendirilen geçerli bir Developer ID taşıyor . Apple’ın noterleme sürecinden geçtiği için Gatekeeper uygulamayı güvenilir kabul ediyor ve kullanıcının alışık olduğu “tanımlanamayan geliştirici” uyarısını göstermiyor .

Kullanıcı Werkbit’i internetten indirip elle açtıktan sonra bir betik, gerçek CrashStealer yükünü arka planda indiriyor . Bu durum, noterlemenin bir uygulamanın her yönünün güvenli olduğu anlamına gelmediğini de ortaya koyuyor: Gatekeeper ve noterleme, geliştiricinin kimliğini ve uygulamanın belirli güvenlik koşullarını kontrol etse de eksiksiz bir kod incelemesi yerine geçmiyor .

Hangi verileri hedefliyor?

CrashStealer’ın topladığı veriler arasında şunlar bulunuyor:

• Chrome, Firefox, Edge, Brave, Opera ve Vivaldi’deki tarayıcı kimlik bilgileri .
• 1Password’ün de aralarında bulunduğu yaklaşık 14 parola yöneticisindeki veriler .
• Yaklaşık 80 kripto para cüzdanı tarayıcı uzantısı ve yerel cüzdan dosyaları .
• macOS Keychain verileri ve sistem parolaları .

Öne çıkan teknikler

• Göndermeden önce yerel parola doğrulaması: CrashStealer, Apple’ın gerçek kimlik doğrulama penceresine benzeyen sahte bir sistem iletişim kutusuyla Mac giriş parolasını istiyor. Parolayı çalmadan önce cihaz üzerinde doğruluyor ve böylece saldırgana çalışır durumdaki bir kimlik bilgisi sağlamayı hedefliyor .
• AES-GCM şifrelemesi: Çalınan dosyalar uzak bir komuta ve kontrol sunucusuna gönderilmeden önce AES-GCM ile şifreleniyor. Bu, ağ trafiği üzerinden tespit edilmelerini zorlaştırabiliyor .
• Kalıcılık ve kamuflaj: Zararlı yazılım, gerçek görüntüyü sürdürmek için inandırıcı bir sahte çökme raporu ekranı gösteriyor; kendisini ~/Library/Caches/com.apple.crashreporter/ dizinine kopyalıyor ve yeniden başlatmaların ardından çalışabilmek için com.apple.crashreporter.helper adlı bir LaunchAgent oluşturuyor .
• Geniş izin talebi: CrashStealer, erişebileceği verileri artırmak için “Tam Disk Erişimi” izni de isteyebiliyor .

Jamf’ın bildiriminden sonra Apple, Werkbit ile ilişkili imzalama sertifikasını iptal etti . Ancak sertifika iptali, uygulama zaten dağıtıldıktan sonra devreye giren tepkisel bir önlem niteliğinde.

PamStealer: Parolayı Apple’ın PAM API’siyle kontrol eden Rust tabanlı hırsız

Sahte Maccy uygulaması üzerinden dağıtılıyor

PamStealer, Jamf tarafından 2 Temmuz 2026’da açıklanan, Rust ile geliştirilmiş iki aşamalı bir macOS bilgi hırsızı . Adını, çalınan parolaları doğrulamak için Apple’ın Takılabilir Kimlik Doğrulama Modülleri anlamına gelen PAM (Pluggable Authentication Modules) API’sini kullanmasından alıyor .

Zararlı yazılım, Mac’ler için geliştirilen meşru pano yöneticisi Maccy’yi taklit eden yazım hatalı alan adları üzerinden dağıtılıyor. Örneklerden biri maccyapp[.]com .

Saldırı zinciri genel olarak şöyle ilerliyor:

1. Kurban, içinde derlenmiş bir .scpt AppleScript dosyası bulunan trojanlaştırılmış disk imajını indiriyor .
2. Sahte yönlendirme, kullanıcının dosyayı Script Editor’da açmasını ve çalıştırmak için Command-R tuşlarına basmasını istiyor .
3. Script Editor güvenilir bir sistem uygulaması olduğu için macOS’un com.apple.quarantine korumaları atlanabiliyor ve olağan Gatekeeper uyarısı görünmeyebiliyor .

Buradaki kritik unsur, saldırının tamamen görünmez bir istismar gerektirmemesi; kullanıcının dosyayı açıp çalıştırması ve birden fazla istemi onaylaması gerekiyor. Bu nedenle resmi olmayan indirme siteleri ve “uygulamayı çalıştırmak için şu tuşlara basın” gibi yönlendirmeler önemli uyarı işaretleri.

Hedef alınan bilgiler

İkinci aşamadaki Rust yükü şu verileri çalabiliyor:

• PAM üzerinden macOS giriş parolaları ve yerel yönetici parolası .
• Tarayıcılarda kayıtlı kimlik bilgileri, çerezler ve pano içeriği .
• macOS Keychain içeriği .
• Ethereum cüzdan dosyaları ve SSH anahtarları .

PamStealer’ın ayırt edici özelliği: PAM ile parola doğrulama

PamStealer’ın en dikkat çekici davranışı, kullanıcının yazdığı parolayı yalnızca kaydetmekle yetinmemesi. Örneğin kullanıcı, “Maccy değişiklik yapmak istiyor” şeklindeki standart görünümlü bir kimlik doğrulama istemine parolasını girdiğinde, zararlı yazılım Apple’ın PAM API’sindeki pam_start ve pam_authenticate çağrılarını kullanarak parolanın sistemin kimlik doğrulama zincirinde geçerli olup olmadığını test ediyor .

Parola doğruysa bilgi dışarı gönderiliyor ve diğer kimlik bilgileri toplanmaya devam ediliyor. Yanlışsa PamStealer yeniden istemde bulunabiliyor veya işlemi sonlandırabiliyor . Bu yaklaşım, saldırganların geçersiz parolalarla zaman kaybetmesini azaltırken ele geçirilen hesaplarda başarılı olma olasılığını artırıyor.

Teknik açıdan da dikkat çekici bir fark var: PamStealer, parolayı doğrulamak için işletim sisteminin kendi API’sini kullanıyor. Bu nedenle tipik tuş kaydedicilere veya bellek tarayıcılarına kıyasla daha az adli iz bırakabileceği değerlendiriliyor .

Mac güvenliği açısından daha geniş tablo

Geçerli imzalar güven zincirinin kötüye kullanılabileceğini gösteriyor

CrashStealer vakası, saldırganların kötü amaçlı bir uygulamayı Apple’ın noterleme sürecinden geçirerek Gatekeeper’dan geçen bir imza elde edebildiğini gösteriyor . Apple daha sonra ilgili sertifikayı iptal etmiş olsa da bu tür müdahaleler, kötü amaçlı yazılımın ilk dağıtımını otomatik olarak engellemiyor. MacSync ve Odyssey Stealer ailesiyle ilişkilendirilen önceki örneklerde de geçerli Apple geliştirici imzalarının kötüye kullanıldığı bildirilmişti .

Script Editor, saldırı zincirlerinde kör nokta olarak kullanılıyor

PamStealer ve son dönemdeki başka macOS tehditleri, AppleScript’leri güvenilir sistem uygulamaları üzerinden çalıştırmanın Gatekeeper kontrollerini etkisizleştirebilmesinden yararlanıyor. Jamf, bu durumu bilinen ancak hâlâ düzeltilmemiş bir boşluk olarak nitelendiriyor .

Bilgi hırsızları daha özelleşmiş hale geliyor

CrashStealer’ın AES-GCM şifrelemesi ve PamStealer’ın PAM API’siyle parola doğrulaması, saldırganların basit ve hazır araçlar yerine daha özel, sessiz çalışmaya odaklanan teknikler geliştirdiğine işaret ediyor . Microsoft da Şubat 2026’da macOS, Python ve platformlar arası bilgi hırsızlarının “ClickFix” türü sosyal mühendislik tuzaklarıyla tarayıcı parolalarını, kripto cüzdanlarını ve bulut kimlik bilgilerini hedef aldığı daha geniş bir eğilime dikkat çekmişti .

Parolayı cihaz üzerinde kontrol etmek saldırganlara güvenilirlik kazandırıyor

Her iki zararlı yazılımın ortak noktası, ele geçirilen parolayı dışarı aktarmadan önce kurbanın Mac’inde doğrulaması. Bu, saldırganların çalışmayan parolaları elemekle kalmıyor; başarısız giriş denemelerinden kaynaklanabilecek dikkat çekici izleri de azaltabiliyor .

Mac kullanıcıları açısından temel ders şu: Apple imzası taşıyan veya Gatekeeper uyarısı göstermeyen bir uygulama otomatik olarak güvenli kabul edilmemeli. Özellikle uygulamaları yalnızca güvenilir kaynaklardan indirmek, alan adlarını dikkatle kontrol etmek ve bir dosyayı çalıştırmak için alışılmadık klavye kısayolları ya da ek izinler isteyen yönlendirmilere karşı temkinli olmak önem taşıyor .