Le malware CrashStealer Mac utilise un programme d'installation Werkbit signé et une fausse invite de mot de passe pour voler les données du trousseau, les informations d'identification du navigateur et les portefeuilles de crypto-monnaie.
Un programme d’installation soigné peut donner l’impression que les logiciels risqués sont une routine. Vous voyez une fenêtre Mac familière, suivez les instructions et entrez votre mot de passe lorsque vous y êtes invité. D’ici là, l’application joue peut-être déjà contre vous.
Les chercheurs en sécurité de Jamf Threat Labs ont découvert CrashStealer, un nouveau voleur d’informations Mac qui usurpe l’identité du logiciel de rapport d’erreur d’Apple. Jamf a suivi le malware pour la première fois en mai 2026, alors qu’il semblait être en cours de développement. Début juillet, les chercheurs l’ont détecté lors d’attaques actives.
Cours CyberGuy gratuit en direct : vous en avez assez du spam ? Rejoignez-nous le 22 juillet
Rejoignez-nous ce mercredi 22 juillet à 13 h HE pour un cours CyberGuy Live gratuit qui vous aidera à réduire les appels automatisés, les SMS indésirables, les courriers indésirables et autres messages indésirables. Kurt « CyberGuy » Knutsson vous guidera étape par étape à travers des méthodes simples pour filtrer le spam, nettoyer votre boîte de réception et reconnaître les messages susceptibles de mettre en danger vos informations personnelles. Aucune expérience technique n’est nécessaire. Vous recevrez également notre liste de contrôle anti-spam, et chaque inscrit recevra ensuite un lien vers l’enregistrement du cours.
CrashStealer cible les informations sur lesquelles de nombreuses personnes s’appuient quotidiennement. Il recherche les informations d’identification du navigateur, les données du gestionnaire de mots de passe et les informations du portefeuille de crypto-monnaie. Le malware peut également copier le trousseau de connexion Mac. Le malware se distingue par le fait que ses développeurs l’ont écrit en C++ natif. De nombreux voleurs de Mac courants s’appuient sur AppleScript ou sur des wrappers logiciels plus simples.
CrashStealer crypte également les fichiers qu’il collecte avant de les envoyer à un serveur contrôlé par un attaquant. Parallèlement, les fonctionnalités anti-débogage rendent les logiciels malveillants plus difficiles à examiner pour les chercheurs. Cependant, la première application vue par une victime ne s’appelle pas CrashStealer. L’attaque commence par une image disque intitulée « Werkbit Setup ».
Comment le malware CrashStealer Mac infecte les ordinateurs
L’image disque de Werkbit Setup contient un programme d’installation raffiné. Ses instructions indiquent à l’utilisateur de cliquer avec le bouton droit sur l’application et de choisir Ouvrir. Cette action apparaît souvent dans les instructions des logiciels qui doivent contourner un avertissement de sécurité Mac. Dans ce cas, l’installateur disposait déjà d’un identifiant de développeur Apple valide et d’un ticket de notarisation. Par conséquent, il pourrait effacer Gatekeeper lors de son premier lancement. Jamf a également découvert que l’image disque elle-même avait été signée, ce que les chercheurs ont qualifié d’inhabituel pour une livraison malveillante sur Mac.
Le site Web qui distribuait Werkbit Setup nécessitait un code PIN de réunion. Cette configuration a peut-être aidé les attaquants à limiter l’accès aux personnes ayant reçu le bon code. Cela a également rendu le téléchargement plus exclusif et potentiellement plus crédible.
Une fois ouvert, Werkbit Setup a contacté GitHub pour une commande initiale. Il a ensuite téléchargé un script depuis l’infrastructure des attaquants. Ensuite, le script a installé une deuxième image disque nommée CrashReporter.dmg dans un dossier temporaire caché. La charge utile utilisait le nom CrashReporter et l’identifiant du bundle com.apple.crashreporter. Ces détails ont été choisis pour ressembler à un composant du système Apple. Le malware s’est ensuite lancé discrètement en arrière-plan.
Comment le programme d’installation malveillant sur Mac a effacé Gatekeeper
Apple utilise Gatekeeper parallèlement à la signature de l’ID de développeur pour réduire les risques liés aux logiciels téléchargés. Son processus de notarisation vérifie qu’une application ne contient pas de contenu malveillant connu lorsque les développeurs la soumettent. Gatekeeper peut également vérifier si Apple a révoqué le certificat de signature. Néanmoins, une étiquette notariée ne devrait jamais remplacer votre jugement sur l’origine d’une application.
Une application nuisible peut s’infiltrer avant que les chercheurs ou Apple n’identifient son comportement. Les attaquants peuvent également utiliser un programme d’installation de première étape fiable pour récupérer une charge utile différente après le lancement. Jamf a signalé à Apple l’ID de l’équipe de développement connectée à Werkbit Setup après avoir confirmé qu’il avait distribué un logiciel malveillant. Le rapport ne précise pas combien de personnes ont été infectées.
Après le lancement de CrashStealer, il affiche une invite de mot de passe conçue pour ressembler à une demande d’autorisation légitime de macOS. Le malware vérifie le mot de passe localement avec une commande de service d’annuaire Mac intégrée.
[…] La suite de l’article est à lire sur Fox News via le lien ci-dessous.
Traduit automatiquement de l’anglais. Le texte original fait foi.
Ces informations ne constituent en aucun cas des conseils financiers ou d’investissement.
Source : Fox News — Lire l’article original
À propos de l'auteur
