CrashStealer і PamStealer: нова хвиля шкідливого ПЗ для Mac перевіряє паролі перед крадіжкою

Два нові інфостілери для macOS — CrashStealer і PamStealer — демонструють, як змінюються підходи кіберзлочинців до атак на Mac. За даними Jamf Threat Labs, обидві загрози обходять захист Apple різними способами, викрадають облікові дані з браузерів, менеджерів паролів, криптогаманців і Keychain, а також мають незвичну функцію: перевіряють пароль безпосередньо на пристрої жертви перед його викраденням. Це дає зловмисникам упевненість, що отриманий пароль справді працює ^CATJ.

CrashStealer маскується під звіт Apple про збій

Як поширюється

CrashStealer — інфостілер, написаний мовою C++. Його вперше виявили на початку липня 2026 року, а публічно описали 13–14 липня ^TAJ. Шкідлива програма імітує легітимний компонент Apple для звітування про збої: її бінарний файл називається CrashReporter.app, використовує схожі іконку й метадані ^AB.

Першою ланкою зараження є застосунок Werkbit — підписаний і нотаризований Apple застосунок із чинним Developer ID, пов’язаним з ім’ям «Emil Grigorov» ^TAJ. Нотаризація означає, що застосунок пройшов автоматизовану перевірку сервісів Apple. Через це Gatekeeper сприймає його як довірений і не показує звичне попередження про невідомого розробника ^AJ.

Однак користувач має самостійно завантажити й відкрити Werkbit. Після запуску скрипт у фоновому режимі отримує справжній payload CrashStealer ^TJ.

Які дані викрадає CrashStealer

Шкідлива програма збирає дані з різних частин системи:

• облікові дані браузерів Chrome, Firefox, Edge, Brave, Opera та Vivaldi ^TJ;
• дані приблизно 14 менеджерів паролів, зокрема 1Password ^TA;
• дані близько 80 розширень криптовалютних гаманців і локальних файлів гаманців ^TA;
• відомості з macOS Keychain і системні паролі ^TJ.

Техніки CrashStealer

• Перевірка пароля на пристрої. CrashStealer показує підроблене системне вікно, стилізоване під запит Apple, і просить пароль для входу в Mac. Потім програма локально перевіряє його та лише після цього продовжує збір даних — так зловмисники отримують саме робочий пароль ^TJ.
• Шифрування AES-GCM. Викрадені файли шифруються перед надсиланням на віддалений сервер командування й керування (C2), що ускладнює виявлення передавання на рівні мережі ^TJ.
• Маскування та закріплення в системі. Після зараження шкідлива програма показує переконливий фальшивий екран звіту про збій, копіює себе в ~/Library/Caches/com.apple.crashreporter/ і створює LaunchAgent із назвою com.apple.crashreporter.helper, щоб запускатися після перезавантаження ^FB.
• Запит Full Disk Access. CrashStealer також просить дозвіл на повний доступ до диска, розширюючи перелік даних, які може прочитати ^F.

Після повідомлення від Jamf Apple відкликала сертифікат підпису Werkbit ^TA. Водночас цей випадок показує обмеження моделі, у якій відкликання сертифікатів відбувається вже після виявлення кампанії.

PamStealer використовує справжній API macOS для перевірки пароля

Підроблений Maccy і Script Editor

PamStealer — двоетапний інфостілер, написаний мовою Rust. Jamf повідомила про нього 2 липня 2026 року ^AAS. Назва походить від використання Pluggable Authentication Modules (PAM) — системи модулів macOS для автентифікації ^AMDA.

Шкідлива програма поширюється через домени-двійники, що імітують сайт легітимного менеджера буфера обміну Maccy, наприклад maccyapp[.]com ^MIA. Ланцюжок атаки виглядає так:

1. Користувач завантажує заражений образ диска з скомпільованим файлом AppleScript .scpt ^AAS.
2. Підроблений інсталятор просить відкрити файл у системному Script Editor і натиснути Command-R для запуску ^AAS.
3. Оскільки Script Editor є довіреним системним застосунком, захист Gatekeeper і пов’язані з атрибутом com.apple.quarantine перевірки обходяться, а звичне попередження може не з’явитися ^MDA.

Таким чином, атака значною мірою спирається не на експлуатацію складної вразливості, а на соціальну інженерію: користувача переконують завантажити програму з неофіційного джерела й виконати конкретну дію в довіреному інструменті macOS.

Що викрадає PamStealer

Друга стадія, написана мовою Rust, може збирати:

• пароль для входу в macOS через PAM і пароль локального адміністратора ^MA;
• збережені в браузері облікові дані, cookie та вміст буфера обміну ^AS;
• дані macOS Keychain ^AS;
• файли гаманців Ethereum і SSH-ключі ^SY.

Чому PAM робить атаку небезпечнішою

Коли користувач бачить стандартний запит на кшталт «Maccy хоче внести зміни» й уводить пароль, PamStealer не просто зберігає введений текст. Він викликає системний PAM API — зокрема pam_start і pam_authenticate — щоб перевірити пароль через штатний механізм автентифікації macOS ^AMDA.

Якщо пароль правильний, програма передає його зловмисникам і продовжує збирати інші дані. Якщо ні, вона може повторити запит або завершити роботу. Це зменшує ризик, що нападники отримають непридатні облікові дані або привернуть увагу численними невдалими спробами ^DAS.

Такий підхід може залишати менше криміналістичних слідів, ніж звичайний кейлогер або зчитування даних із пам’яті: шкідлива програма використовує легітимний API Apple для перевірки, а не перехоплює системні виклики чи шукає паролі в буферах пам’яті ^DA.

Що це означає для безпеки Mac

Нотаризація не є гарантією нешкідливості

CrashStealer показує, що зловмисники можуть домогтися чинного підпису Apple і пройти нотаризацію, після чого шкідливий застосунок отримує шанс пройти перевірку Gatekeeper ^TJ. Нотаризація є важливим рівнем захисту, але вона не означає повного ручного аудиту кожного рядка коду. Зловмисники вже використовували чинні сертифікати Apple у кампаніях, пов’язаних із MacSync та сімейством Odyssey Stealer ^MFS.

Відкликання сертифіката допомагає зупинити конкретний зразок, але за своєю природою є реакцією на вже виявлену загрозу, а не абсолютним запобіжником.

Довірені системні програми стають частиною ланцюжка атаки

PamStealer демонструє іншу проблему: Script Editor може стати посередником для запуску шкідливого AppleScript. Jamf називає це відомим, але ще не виправленим недоліком у ланцюжку захисту macOS ^DA. У таких сценаріях користувача підштовхують самостійно запустити файл, а довірений системний застосунок допомагає обійти частину перевірок.

Інфостілери для macOS стають складнішими

AES-GCM у CrashStealer і перевірка паролів через PAM у PamStealer свідчать про перехід від простих масових викрадачів до більш спеціалізованих і прихованих інструментів ^DTJ. Microsoft також описувала ширшу тенденцію: macOS-, Python- і кросплатформні інфостілери використовують приманки у стилі «ClickFix», щоб викрадати паролі браузерів, криптогаманці, хмарні облікові дані та ключі доступу розробників ^M.

Перевірка пароля підвищує ефективність крадіжки

Обидві загрози намагаються підтвердити правильність пароля ще на комп’ютері жертви. Для нападника це означає менше непридатних даних і вищу ймовірність отримати облікові дані, які можна використати. Для користувача це важливе нагадування: запит пароля від macOS не доводить, що його показує справжній системний процес.

Користувачам Mac варто завантажувати програми лише з офіційних або перевірених джерел, уважно перевіряти адресу сайту та не запускати .scpt-файли за інструкціями з випадкових сторінок. Якщо пароль уже було введено у підозріле вікно, його слід змінити з іншого довіреного пристрою, а також оновити пов’язані облікові дані й перевірити криптовалютні гаманці та активні сесії.