Jamf Threat Labs a identifié un nouveau malware macOS baptisé CrashStealer, conçu pour dérober des mots de passe, des données de navigateur et des identifiants liés aux cryptomonnaies. Particularité notable : la chaîne d’infection passait d’abord par une application signée avec un Developer ID valide et notarizée par Apple, ce qui lui permettait de franchir Gatekeeper sans alerte sur un développeur non identifié.
D’après Jamf, les premiers échantillons suspects ont été repérés sur VirusTotal début mai, avant des détections concordantes sur des Mac clients au début du mois de juillet. Apple a depuis révoqué les identifiants de signature associés à l’application malveillante après le signalement transmis à son équipe sécurité.
Werkbit servait de porte d’entrée
Selon l’analyse de Jamf, le premier étage de l’attaque reposait sur Werkbit, une supposée app de réunion ou de collaboration distribuée via werkbit[.]io. Le téléchargement était protégé par un code PIN de réunion, un détail qui suggère une diffusion ciblée vers des victimes précises tout en limitant l’exposition aux visiteurs ordinaires et aux outils d’analyse automatisés.
L’exécutable de Werkbit, nommé veltod, était notarizé par Apple, et même l’image disque était signée. Une fois lancée, l’app récupérait des instructions cachées depuis un dépôt GitHub, puis téléchargeait un script obfusqué depuis une infrastructure contrôlée par les attaquants. Ce script récupérait ensuite CrashStealer, le re-signait et le lançait.
Jamf relie aussi cette opération à d’autres domaines imitant des services de réunion, ainsi qu’à un installeur Windows trouvé aux côtés de la version Mac. L’ensemble pointe vers une campagne plus large, et non vers un cas isolé sur macOS.
Une fausse fenêtre système pour récupérer le mot de passe
Le chargeur final était emballé dans un fichier nommé CrashReporter.dmg. L’app affichée, CrashReporter.app, reprenait le nom, l’icône et même l’identifiant com.apple.crashreporter pour se faire passer pour un composant de macOS. D’après Jamf, l’application sollicitait aussi des autorisations étendues, dont l’accès complet au disque, au Bureau, aux Documents, aux Téléchargements et aux disques amovibles, avec un texte de justification présenté comme de la « system administration ».
Après ouverture, CrashStealer affichait une fenêtre d’autorisation au style très proche de macOS afin de récupérer le mot de passe du compte. Jamf précise que le malware vérifiait localement ce mot de passe avec la commande légitime dscl : si le mot de passe était incorrect, la fenêtre réapparaissait ; s’il était valide, l’attaque se poursuivait.
Jamf n’a trouvé aucun mécanisme « zero-click » dans les échantillons analysés : la victime devait télécharger puis lancer l’app, laisser la chaîne d’exécution se dérouler et saisir un mot de passe Mac valide.
Une fois le mot de passe confirmé, CrashStealer déverrouillait le trousseau de connexion, copiait login.keychain-db dans un dossier caché et préparait les données à l’exfiltration. Le code ciblait aussi Chrome, Edge, Brave, Firefox, Opera, Vivaldi et d’autres navigateurs, avec les profils, cookies, identifiants enregistrés et données d’extensions. Jamf a également relevé une liste d’environ 80 extensions de portefeuilles crypto et 14 gestionnaires de mots de passe, dont 1Password, Bitwarden, LastPass, Dashlane, Keeper, KeePassXC et NordPass.
Ce que ça change
Cette campagne rappelle qu’une app notarizée n’est pas une garantie absolue de sécurité : ici, la confiance initiale venait de la signature et de la présentation soignée, pas d’une faille de macOS. Pour l’utilisateur, le point critique reste la prudence face à un téléchargement non sollicité et à toute demande de mot de passe système qui n’a pas de contexte clair.
Le fait qu’Apple ait révoqué les identifiants de signature limite la durée de vie de cette souche précise, mais le schéma observé par Jamf — faux service de réunion, app crédible, demande de mot de passe — est celui qu’il faudra surveiller de près.
À lire aussi
Source : Jamf Threat Labs — CrashStealer macOS infostealer analysis
Rédigé avec l'assistance d'outils d'IA, vérifié et validé par la rédaction.