CrashStealer маскується під звіт Apple про збій

Як поширюється

CrashStealer — інфостілер, написаний мовою C++. Його вперше виявили на початку липня 2026 року, а публічно описали 13–14 липня . Шкідлива програма імітує легітимний компонент Apple для звітування про збої: її бінарний файл називається CrashReporter.app, використовує схожі іконку й метадані .

Першою ланкою зараження є застосунок Werkbit — підписаний і нотаризований Apple застосунок із чинним Developer ID, пов’язаним з ім’ям «Emil Grigorov» . Нотаризація означає, що застосунок пройшов автоматизовану перевірку сервісів Apple. Через це Gatekeeper сприймає його як довірений і не показує звичне попередження про невідомого розробника .

Однак користувач має самостійно завантажити й відкрити Werkbit. Після запуску скрипт у фоновому режимі отримує справжній payload CrashStealer .

Які дані викрадає CrashStealer

Шкідлива програма збирає дані з різних частин системи:

• облікові дані браузерів Chrome, Firefox, Edge, Brave, Opera та Vivaldi ;
• дані приблизно 14 менеджерів паролів, зокрема 1Password ;
• дані близько 80 розширень криптовалютних гаманців і локальних файлів гаманців ;
• відомості з macOS Keychain і системні паролі .

Техніки CrashStealer

• Перевірка пароля на пристрої. CrashStealer показує підроблене системне вікно, стилізоване під запит Apple, і просить пароль для входу в Mac. Потім програма локально перевіряє його та лише після цього продовжує збір даних — так зловмисники отримують саме робочий пароль .
• Шифрування AES-GCM. Викрадені файли шифруються перед надсиланням на віддалений сервер командування й керування (C2), що ускладнює виявлення передавання на рівні мережі .
• Маскування та закріплення в системі. Після зараження шкідлива програма показує переконливий фальшивий екран звіту про збій, копіює себе в ~/Library/Caches/com.apple.crashreporter/ і створює LaunchAgent із назвою com.apple.crashreporter.helper, щоб запускатися після перезавантаження .
• Запит Full Disk Access. CrashStealer також просить дозвіл на повний доступ до диска, розширюючи перелік даних, які може прочитати .

Після повідомлення від Jamf Apple відкликала сертифікат підпису Werkbit . Водночас цей випадок показує обмеження моделі, у якій відкликання сертифікатів відбувається вже після виявлення кампанії.

PamStealer використовує справжній API macOS для перевірки пароля

Підроблений Maccy і Script Editor

PamStealer — двоетапний інфостілер, написаний мовою Rust. Jamf повідомила про нього 2 липня 2026 року . Назва походить від використання Pluggable Authentication Modules (PAM) — системи модулів macOS для автентифікації .

Шкідлива програма поширюється через домени-двійники, що імітують сайт легітимного менеджера буфера обміну Maccy, наприклад maccyapp[.]com . Ланцюжок атаки виглядає так:

1. Користувач завантажує заражений образ диска з скомпільованим файлом AppleScript .scpt .
2. Підроблений інсталятор просить відкрити файл у системному Script Editor і натиснути Command-R для запуску .
3. Оскільки Script Editor є довіреним системним застосунком, захист Gatekeeper і пов’язані з атрибутом com.apple.quarantine перевірки обходяться, а звичне попередження може не з’явитися .

Таким чином, атака значною мірою спирається не на експлуатацію складної вразливості, а на соціальну інженерію: користувача переконують завантажити програму з неофіційного джерела й виконати конкретну дію в довіреному інструменті macOS.

Що викрадає PamStealer

Друга стадія, написана мовою Rust, може збирати:

• пароль для входу в macOS через PAM і пароль локального адміністратора ;
• збережені в браузері облікові дані, cookie та вміст буфера обміну ;
• дані macOS Keychain ;
• файли гаманців Ethereum і SSH-ключі .

Чому PAM робить атаку небезпечнішою

Коли користувач бачить стандартний запит на кшталт «Maccy хоче внести зміни» й уводить пароль, PamStealer не просто зберігає введений текст. Він викликає системний PAM API — зокрема pam_start і pam_authenticate — щоб перевірити пароль через штатний механізм автентифікації macOS .

Якщо пароль правильний, програма передає його зловмисникам і продовжує збирати інші дані. Якщо ні, вона може повторити запит або завершити роботу. Це зменшує ризик, що нападники отримають непридатні облікові дані або привернуть увагу численними невдалими спробами .

Такий підхід може залишати менше криміналістичних слідів, ніж звичайний кейлогер або зчитування даних із пам’яті: шкідлива програма використовує легітимний API Apple для перевірки, а не перехоплює системні виклики чи шукає паролі в буферах пам’яті .

Що це означає для безпеки Mac

Нотаризація не є гарантією нешкідливості

CrashStealer показує, що зловмисники можуть домогтися чинного підпису Apple і пройти нотаризацію, після чого шкідливий застосунок отримує шанс пройти перевірку Gatekeeper . Нотаризація є важливим рівнем захисту, але вона не означає повного ручного аудиту кожного рядка коду. Зловмисники вже використовували чинні сертифікати Apple у кампаніях, пов’язаних із MacSync та сімейством Odyssey Stealer .

Відкликання сертифіката допомагає зупинити конкретний зразок, але за своєю природою є реакцією на вже виявлену загрозу, а не абсолютним запобіжником.

Довірені системні програми стають частиною ланцюжка атаки

PamStealer демонструє іншу проблему: Script Editor може стати посередником для запуску шкідливого AppleScript. Jamf називає це відомим, але ще не виправленим недоліком у ланцюжку захисту macOS . У таких сценаріях користувача підштовхують самостійно запустити файл, а довірений системний застосунок допомагає обійти частину перевірок.

Інфостілери для macOS стають складнішими

AES-GCM у CrashStealer і перевірка паролів через PAM у PamStealer свідчать про перехід від простих масових викрадачів до більш спеціалізованих і прихованих інструментів . Microsoft також описувала ширшу тенденцію: macOS-, Python- і кросплатформні інфостілери використовують приманки у стилі «ClickFix», щоб викрадати паролі браузерів, криптогаманці, хмарні облікові дані та ключі доступу розробників .

Перевірка пароля підвищує ефективність крадіжки

Обидві загрози намагаються підтвердити правильність пароля ще на комп’ютері жертви. Для нападника це означає менше непридатних даних і вищу ймовірність отримати облікові дані, які можна використати. Для користувача це важливе нагадування: запит пароля від macOS не доводить, що його показує справжній системний процес.

Користувачам Mac варто завантажувати програми лише з офіційних або перевірених джерел, уважно перевіряти адресу сайту та не запускати .scpt-файли за інструкціями з випадкових сторінок. Якщо пароль уже було введено у підозріле вікно, його слід змінити з іншого довіреного пристрою, а також оновити пов’язані облікові дані й перевірити криптовалютні гаманці та активні сесії.

CrashStealer маскується під звіт Apple про збій

Як поширюється

CrashStealer — інфостілер, написаний мовою C++. Його вперше виявили на початку липня 2026 року, а публічно описали 13–14 липня . Шкідлива програма імітує легітимний компонент Apple для звітування про збої: її бінарний файл називається CrashReporter.app, використовує схожі іконку й метадані .

Першою ланкою зараження є застосунок Werkbit — підписаний і нотаризований Apple застосунок із чинним Developer ID, пов’язаним з ім’ям «Emil Grigorov» . Нотаризація означає, що застосунок пройшов автоматизовану перевірку сервісів Apple. Через це Gatekeeper сприймає його як довірений і не показує звичне попередження про невідомого розробника .

Однак користувач має самостійно завантажити й відкрити Werkbit. Після запуску скрипт у фоновому режимі отримує справжній payload CrashStealer .

Які дані викрадає CrashStealer

Шкідлива програма збирає дані з різних частин системи:

• облікові дані браузерів Chrome, Firefox, Edge, Brave, Opera та Vivaldi ;
• дані приблизно 14 менеджерів паролів, зокрема 1Password ;
• дані близько 80 розширень криптовалютних гаманців і локальних файлів гаманців ;
• відомості з macOS Keychain і системні паролі .

Техніки CrashStealer

• Перевірка пароля на пристрої. CrashStealer показує підроблене системне вікно, стилізоване під запит Apple, і просить пароль для входу в Mac. Потім програма локально перевіряє його та лише після цього продовжує збір даних — так зловмисники отримують саме робочий пароль .
• Шифрування AES-GCM. Викрадені файли шифруються перед надсиланням на віддалений сервер командування й керування (C2), що ускладнює виявлення передавання на рівні мережі .
• Маскування та закріплення в системі. Після зараження шкідлива програма показує переконливий фальшивий екран звіту про збій, копіює себе в ~/Library/Caches/com.apple.crashreporter/ і створює LaunchAgent із назвою com.apple.crashreporter.helper, щоб запускатися після перезавантаження .
• Запит Full Disk Access. CrashStealer також просить дозвіл на повний доступ до диска, розширюючи перелік даних, які може прочитати .

Після повідомлення від Jamf Apple відкликала сертифікат підпису Werkbit . Водночас цей випадок показує обмеження моделі, у якій відкликання сертифікатів відбувається вже після виявлення кампанії.

PamStealer використовує справжній API macOS для перевірки пароля

Підроблений Maccy і Script Editor

PamStealer — двоетапний інфостілер, написаний мовою Rust. Jamf повідомила про нього 2 липня 2026 року . Назва походить від використання Pluggable Authentication Modules (PAM) — системи модулів macOS для автентифікації .

Шкідлива програма поширюється через домени-двійники, що імітують сайт легітимного менеджера буфера обміну Maccy, наприклад maccyapp[.]com . Ланцюжок атаки виглядає так:

1. Користувач завантажує заражений образ диска з скомпільованим файлом AppleScript .scpt .
2. Підроблений інсталятор просить відкрити файл у системному Script Editor і натиснути Command-R для запуску .
3. Оскільки Script Editor є довіреним системним застосунком, захист Gatekeeper і пов’язані з атрибутом com.apple.quarantine перевірки обходяться, а звичне попередження може не з’явитися .

Таким чином, атака значною мірою спирається не на експлуатацію складної вразливості, а на соціальну інженерію: користувача переконують завантажити програму з неофіційного джерела й виконати конкретну дію в довіреному інструменті macOS.

Що викрадає PamStealer

Друга стадія, написана мовою Rust, може збирати:

• пароль для входу в macOS через PAM і пароль локального адміністратора ;
• збережені в браузері облікові дані, cookie та вміст буфера обміну ;
• дані macOS Keychain ;
• файли гаманців Ethereum і SSH-ключі .

Чому PAM робить атаку небезпечнішою

Коли користувач бачить стандартний запит на кшталт «Maccy хоче внести зміни» й уводить пароль, PamStealer не просто зберігає введений текст. Він викликає системний PAM API — зокрема pam_start і pam_authenticate — щоб перевірити пароль через штатний механізм автентифікації macOS .

Якщо пароль правильний, програма передає його зловмисникам і продовжує збирати інші дані. Якщо ні, вона може повторити запит або завершити роботу. Це зменшує ризик, що нападники отримають непридатні облікові дані або привернуть увагу численними невдалими спробами .

Такий підхід може залишати менше криміналістичних слідів, ніж звичайний кейлогер або зчитування даних із пам’яті: шкідлива програма використовує легітимний API Apple для перевірки, а не перехоплює системні виклики чи шукає паролі в буферах пам’яті .

Що це означає для безпеки Mac

Нотаризація не є гарантією нешкідливості

CrashStealer показує, що зловмисники можуть домогтися чинного підпису Apple і пройти нотаризацію, після чого шкідливий застосунок отримує шанс пройти перевірку Gatekeeper . Нотаризація є важливим рівнем захисту, але вона не означає повного ручного аудиту кожного рядка коду. Зловмисники вже використовували чинні сертифікати Apple у кампаніях, пов’язаних із MacSync та сімейством Odyssey Stealer .

Відкликання сертифіката допомагає зупинити конкретний зразок, але за своєю природою є реакцією на вже виявлену загрозу, а не абсолютним запобіжником.

Довірені системні програми стають частиною ланцюжка атаки

PamStealer демонструє іншу проблему: Script Editor може стати посередником для запуску шкідливого AppleScript. Jamf називає це відомим, але ще не виправленим недоліком у ланцюжку захисту macOS . У таких сценаріях користувача підштовхують самостійно запустити файл, а довірений системний застосунок допомагає обійти частину перевірок.

Інфостілери для macOS стають складнішими

AES-GCM у CrashStealer і перевірка паролів через PAM у PamStealer свідчать про перехід від простих масових викрадачів до більш спеціалізованих і прихованих інструментів . Microsoft також описувала ширшу тенденцію: macOS-, Python- і кросплатформні інфостілери використовують приманки у стилі «ClickFix», щоб викрадати паролі браузерів, криптогаманці, хмарні облікові дані та ключі доступу розробників .

Перевірка пароля підвищує ефективність крадіжки

Обидві загрози намагаються підтвердити правильність пароля ще на комп’ютері жертви. Для нападника це означає менше непридатних даних і вищу ймовірність отримати облікові дані, які можна використати. Для користувача це важливе нагадування: запит пароля від macOS не доводить, що його показує справжній системний процес.

Користувачам Mac варто завантажувати програми лише з офіційних або перевірених джерел, уважно перевіряти адресу сайту та не запускати .scpt-файли за інструкціями з випадкових сторінок. Якщо пароль уже було введено у підозріле вікно, його слід змінити з іншого довіреного пристрою, а також оновити пов’язані облікові дані й перевірити криптовалютні гаманці та активні сесії.