Un nouveau malware baptisé CrashStealer a été repéré sur macOS, avec une méthode qui peut tromper même les utilisateurs prudents. D’après Jamf Threat Labs, l’attaque passait d’abord par une application disposant d’un Developer ID valide et notarizée par Apple, ce qui lui permettait de franchir Gatekeeper sans l’alerte classique sur un développeur inconnu.
Les premiers échantillons suspects ont été vus sur VirusTotal au début du mois de mai. Jamf indique ensuite avoir observé des détections concordantes sur des Mac de clients au début de juillet. Après le signalement, Apple a révoqué les identifiants de signature liés à l’application malveillante.
Une fausse app de réunion comme porte d’entrée
Selon l’analyse de Jamf, le premier maillon de la chaîne reposait sur une application appelée Werkbit, présentée comme un outil de réunion ou de collaboration et distribuée via le domaine werkbit[.]io. Le téléchargement nécessitait un code PIN de réunion, un détail qui laisse penser à une diffusion ciblée, tout en réduisant l’exposition aux visiteurs ordinaires et aux outils d’analyse automatisés.
L’exécutable de cette app, nommé veltod, était notarizé par Apple, et l’image disque était elle aussi signée. Une fois lancée, l’application récupérait des instructions cachées depuis un dépôt GitHub, puis téléchargeait un script obfusqué depuis une infrastructure contrôlée par les attaquants. Ce script récupérait ensuite CrashStealer, le re-signait et le lançait.
Jamf relie aussi l’opération à d’autres domaines imitant des services de réunion, ainsi qu’à un installeur Windows découvert en parallèle. Cela suggère une campagne plus large qu’un simple cas isolé visant les Mac.
Une imitation de composant système pour voler le mot de passe
Le chargeur final était distribué dans un fichier nommé CrashReporter.dmg. L’application affichée, CrashReporter.app, reprenait le nom, l’icône et même l’identifiant com.apple.crashreporter pour se faire passer pour un élément légitime de macOS. Jamf précise aussi que l’app réclamait des autorisations étendues, notamment l’accès complet au disque, au Bureau, aux Documents, aux Téléchargements et aux disques amovibles.
Après ouverture, le malware affichait une fenêtre d’autorisation visuellement proche de macOS afin de récupérer le mot de passe du compte. D’après Jamf, ce mot de passe était ensuite vérifié localement avec la commande légitime dscl : si la saisie était incorrecte, la fenêtre revenait ; si elle était valide, l’attaque continuait.
Jamf n’a relevé aucun mécanisme zero-click dans les échantillons étudiés. Il fallait télécharger l’app, l’ouvrir, laisser la chaîne d’exécution se dérouler, puis saisir un mot de passe Mac correct. Une fois cette étape franchie, CrashStealer déverrouillait le trousseau de connexion, copiait login.keychain-db dans un dossier caché et préparait les données à l’exfiltration.
Le code ciblait aussi plusieurs navigateurs, dont Chrome, Edge, Brave, Firefox, Opera et Vivaldi, afin de récupérer profils, cookies, identifiants enregistrés et données d’extensions. Jamf a en outre relevé une liste d’environ 80 extensions de portefeuilles crypto et 14 gestionnaires de mots de passe, parmi lesquels 1Password, Bitwarden, LastPass, Dashlane, Keeper, KeePassXC et NordPass.
Ce que ça change
Le point important ici, c’est qu’une app notarizée n’est pas une garantie absolue. Dans ce cas, la confiance venait surtout d’une présentation crédible et d’une signature valide, pas d’une faille automatique dans macOS.
Concrètement, le risque principal reste le même pour l’utilisateur : télécharger une app reçue hors des circuits habituels, puis entrer son mot de passe système sans contexte clair. La révocation par Apple limite cette souche précise, mais la méthode décrite par Jamf — faux service de réunion, interface rassurante, demande de mot de passe — mérite d’être surveillée de près.
À lire aussi
Source : Jamf Threat Labs — CrashStealer macOS infostealer analysis