Prudence : un nouveau malware pensé pour macOS sévit depuis quelques semaines. Repéré par les équipes de cyber-sécurité de Jamf, le malware usurpe l'identité du framework de signalement des plantages d'Apple pour voler mots de passe et identifiants de navigation. Appelé CrashStealer, il est livré dans la fausse application de visioconférence Werkbit, qui est notarisée.
Werkbit ne contient pas directement le programme chargé de voler les données. Cette fausse application de collaboration d'entreprise signée avec une identité Developer ID établie au nom d’Emil Grigorov sert plutôt de porte d’entrée. Elle était proposée sur un site camouflée par mot de passe, ce qui laisse à penser que les pirates l'envoyaient directement à leurs victimes pour limiter sa visibilité. Une fois ouverte, elle télécharge discrètement un second logiciel malveillant baptisé « CrashReporter », puis l’installe dans un dossier caché sur le Mac.
C’est ce programme, dont le nom imite un composant officiel de macOS, qui prend ensuite le relais pour récupérer les mots de passe et les informations de navigation. Il utilise l'identifiant de bundle « com.apple.crashreporter », une icône de style Apple et un nom associé au système de signalement des plantages de macOS. Il affiche des fenêtres imitant les alertes de macOS afin d’obtenir le mot de passe de la session. Lorsque le mot de passe saisi est incorrect, le programme affiche une nouvelle demande. Une fois le bon mot de passe obtenu, il le vérifie localement et s’en sert notamment pour déverrouiller le trousseau de connexion de l’utilisateur.
Grâce au mot de passe récupéré, CrashStealer peut accéder au trousseau macOS, aux données enregistrées dans les navigateurs et à de nombreux gestionnaires de mots de passe. Il cible également certaines extensions de portefeuilles de cryptomonnaies, ainsi que les fichiers stockés dans les dossiers Documents et Téléchargements. Les informations récupérées sont ensuite regroupées, chiffrées et transmises aux serveurs des attaquants. Le malware se relance automatiquement à chaque ouverture de session grâce à un agent installé dans macOS.
Jamf a depuis signalé à Apple les identifiants de développeur utilisés pour distribuer l’application malveillante. Notons cependant que l’opération ne semble pas se limiter à Werkbit ni même à macOS. Jamf a identifié plusieurs faux services de réunion et de collaboration portant les noms de Cohezo, Cordinex, Synerix, Collabox et Werknova, tous reliés à une même infrastructure. Les chercheurs ont également découvert un installateur destiné à Windows, signe que CrashStealer s’inscrit vraisemblablement dans une campagne multiplateforme plus large.
Pour limiter les risques, mieux vaut éviter toute application reçue par un lien inhabituel, même lorsqu’elle semble signée ou validée par Apple. Une demande de mot de passe répétitive, imprécise ou apparaissant juste après l’installation d’un logiciel doit également éveiller les soupçons. Les personnes ayant installé Werkbit devraient déconnecter leur Mac du réseau, faire rechercher et supprimer CrashReporter ainsi que ses mécanismes puis modifier leurs mots de passe sensibles depuis un appareil considéré comme sain.
