Les utilisateurs de Mac ont une nouvelle raison de rester sur leurs gardes. Un malware baptisé CrashStealer se fait passer pour un outil officiel d’Apple afin de récupérer des informations sensibles.
Son objectif est de mettre la main sur vos mots de passe, vos identifiants bancaires et même vos portefeuilles de cryptomonnaies. Elle envoie ensuite discrètement toutes ces données à ses opérateurs.
Comment CrashStealer procède ?
Le piège est bien conçu. Une fois installé, le logiciel prend le nom de CrashReporter.app, qui correspond au véritable outil d’Apple chargé de signaler les plantages du système.
L’utilisateur voit alors apparaître une fenêtre d’authentification parfaitement similaire à celle de macOS. Pensant répondre à une demande légitime du système, il saisit son mot de passe sans se méfier.
Et les cybercriminels comptent là-dessus. Car avec ce mot de passe, CrashStealer obtient l’accès au Trousseau de macOS. L’espace sécurisé où sont stockés les mots de passe Wi-Fi, les identifiants enregistrés dans Safari ainsi que différentes clés de sécurité.
Le malware ne s’arrête pas là. Il fouille également les principaux navigateurs web, les gestionnaires de mots de passe et plus de 80 extensions dédiées aux portefeuilles de cryptomonnaies.
L’infection commence pourtant de manière assez banale. Les hackers invitent les victimes à télécharger une prétendue application de réunion baptisée Werkbit depuis un site spécialement créé pour l’occasion.
Mais en réalité, c’est un exécutable nommé veltod, qui bénéficie d’un certificat développeur Apple valide et d’une notarisation officielle. En temps normal, Gatekeeper, le système de sécurité intégré à macOS, bloque les logiciels suspects.
Cette fois cependant, tout semble parfaitement légitime. L’application franchit donc les contrôles de sécurité sans afficher le moindre avertissement.
Une fois le fichier ouvert, un message demande simplement de faire un clic droit sur l’application puis de choisir « Ouvrir« . Une manipulation souvent utilisée pour contourner certaines restrictions de macOS.
En arrière-plan, le programme contacte discrètement un dépôt GitHub afin de récupérer la véritable charge malveillante, téléchargée sous le nom CrashReporter.dmg.
Un malware compliqué à repérer
Les pirates ont prévu plusieurs obstacles pour compliquer le travail des chercheurs en cybersécurité. Ils protègent l’accès au téléchargement initial par un code PIN communiqué uniquement lors de fausses réunions en ligne.
Cela empêche les robots de sécurité d’analyser automatiquement le malware. Le code lui-même est fortement obfusqué, avec des chaînes de caractères chiffrées et plusieurs mécanismes anti-débogage destinés à ralentir les analyses.
Avant de lancer le vol de données, CrashStealer commence même par vérifier quels logiciels de sécurité sont installés sur le Mac. Cette étape permet probablement aux attaquants d’évaluer le niveau de protection de leur victime.
Une fois cette vérification terminée, la collecte démarre. Chrome, Firefox, Edge, Brave, Opera et Vivaldi sont tous ciblés. Les célèbres extensions de cryptomonnaies comme MetaMask, Phantom, Coinbase Wallet ou Trust Wallet figurent également sur la liste des victimes potentielles.
Même les gestionnaires de mots de passe les plus populaires, dont 1Password, Bitwarden et LastPass, ne sont pas épargnés.
Avant d’envoyer les informations dérobées vers son serveur de commande, CrashStealer les chiffre avec l’algorithme AES-256-GCM. Les données sont ensuite compressées dans des archives ZIP cachées avant d’être transmises discrètement via la bibliothèque libcurl.
Pour rester présent sur l’ordinateur, le malware s’installe comme un agent de lancement de macOS. Ce, sous un nom qui ressemble encore une fois à un composant officiel d’Apple.
Ainsi, il redémarre automatiquement à chaque ouverture de session. Il modifie également sa signature numérique afin de compliquer sa détection sans toucher à son code.
Ce que vous devrez noter
À la suite des recherches menées par Jamf Threat Labs, Apple a rapidement révoqué les certificats utilisés par la fausse application Werkbit. Cette décision empêche désormais l’installeur de profiter de la notarisation officielle qui lui permettait de contourner Gatekeeper.
Les chercheurs ont toutefois identifié plusieurs domaines et une infrastructure de commande toujours actifs. Ce qui laisse penser que cette campagne pourrait viser d’autres plateformes que macOS.
Et si vous avez téléchargé cette fausse application et saisi votre mot de passe lorsqu’elle vous l’a demandé, les spécialistes de Jamf sont clairs. Considérez votre Mac comme compromis.
Pour eux, une simple suppression du programme ne suffit pas. La solution la plus sûre consiste à réinstaller complètement macOS et à changer tous les mots de passe susceptibles d’avoir été exposés. Mieux vaut perdre un peu de temps aujourd’hui que de voir ses comptes se volatiliser demain.
- Partager l'article :
