Investigadores de Jamf Threat Labs han identificado una nueva familia de malware para macOS bautizada como CrashStealer. Se trata de un infostealer desarrollado en C++ que se hace pasar por el sistema de informes de fallos de Apple para robar credenciales de navegadores, datos de monederos de criptomonedas, información de gestores de contraseñas y contenido del llavero del sistema.
La amenaza fue detectada inicialmente en mayo a través de una muestra subida a VirusTotal, cuando todavía parecía estar en fase de desarrollo. Sin embargo, a comienzos de julio comenzaron a observarse detecciones en entornos reales, lo que indica que el proyecto habría pasado a utilizarse de forma activa.
A diferencia de otros ladrones de información para macOS basados en AppleScript o en envoltorios sencillos de Objective-C, CrashStealer está implementado de forma nativa en C++. Además, valida la contraseña de inicio de sesión de la víctima antes de continuar con el robo de datos y cifra los archivos recopilados con AES-GCM antes de enviarlos a un servidor de mando y control.
Un instalador firmado y notarizado para superar Gatekeeper
La cadena de infección comienza con una imagen de disco llamada “Werkbit Setup”, que contiene una aplicación denominada Werkbit.app. Este primer componente actúa como dropper y está firmado con un Developer ID válido, además de contar con notarización de Apple.
El instalador muestra una ventana cuidada que simula un proceso legítimo de instalación. Incluso indica a la víctima que haga clic derecho sobre la aplicación y seleccione “Abrir”, una técnica habitual de ingeniería social para generar confianza y animar al usuario a ejecutar el archivo.
Una vez abierto, el dropper contacta primero con GitHub para obtener instrucciones y después descarga un script desde infraestructura controlada por los atacantes. Ese script recupera una segunda imagen de disco llamada CrashReporter.dmg, la monta en segundo plano, copia la aplicación maliciosa en una carpeta oculta dentro de /tmp, elimina rastros temporales, la vuelve a firmar de forma ad hoc y la lanza en segundo plano.
El payload principal se presenta como CrashReporter.app, imitando el componente legítimo de Apple utilizado para informar de fallos del sistema. Para reforzar la apariencia de legitimidad, utiliza el identificador com.apple.crashreporter y un icono de aplicación que puede parecer propio del sistema.
El malware también incluye descripciones de permisos preparadas para las ventanas de privacidad de macOS. Solicita acceso al escritorio, documentos, descargas, volúmenes extraíbles y administración del sistema, justificándolo como necesario para tareas de “CrashReporter”.
Robo de credenciales y acceso al llavero
Una de las funciones más peligrosas de CrashStealer es su capacidad para capturar y validar la contraseña del usuario. El malware muestra una ventana que imita una solicitud legítima de macOS y utiliza la herramienta dscl para comprobar localmente si la contraseña introducida es correcta.
Si la clave no es válida, el proceso se detiene y vuelve a solicitarla. Si es correcta, la almacena en un archivo local y la utiliza para desbloquear el llavero de inicio de sesión mediante la herramienta security de Apple.
Una vez desbloqueado el llavero, el malware puede copiar la base de datos login.keychain-db y prepararla para su exfiltración. Esto puede exponer contraseñas guardadas, certificados, claves y otros secretos almacenados en el sistema.
Navegadores, wallets y gestores de contraseñas
CrashStealer recopila información de navegadores basados en Chromium, como Chrome, Brave, Edge, Opera, Vivaldi, Chromium o NAVER Whale. También apunta a datos de Firefox y a bases SQLite utilizadas para guardar credenciales y sesiones.
El alcance del robo es amplio. Durante el análisis dinámico, los investigadores observaron directorios de preparación para cerca de 80 extensiones de monederos de criptomonedas, entre ellas MetaMask, Phantom, Coinbase, Trust Wallet, Rabby, OKX Wallet, Exodus, Keplr, Solflare y Backpack.
También busca información de gestores de contraseñas como 1Password, Bitwarden, LastPass, Dashlane, Keeper, KeePassXC, NordPass, Enpass y RoboForm.
Además, incluye un componente que recorre carpetas del usuario, como Documentos y Descargas, para localizar archivos de interés. No realiza una copia indiscriminada, sino que evita directorios y extensiones que pueden generar ruido o archivos demasiado grandes, como instaladores, bibliotecas, vídeos o archivos comprimidos.
Los datos recopilados se almacenan en directorios ocultos dentro de ~/.cache/com.apple.crashreporter/. Antes de ser enviados, el malware cifra los archivos con AES-256-GCM y los empaqueta en archivos ZIP ocultos con nombres que siguen el patrón .zx_ seguido de ocho caracteres hexadecimales.
