Un nouveau malware CrashStealer imite les rapports de plantage macOS pour voler les mots de passe des utilisateurs.

Un nouveau logiciel malveillant sophistiqué ciblant les utilisateurs de macOS, baptisé «CrashStealer», a été identifié par des chercheurs en sécurité. Ce logiciel malveillant est particulièrement dangereux car il imite avec expertise les outils de rapport de plantage système d'Apple, augmentant ainsi considérablement le risque que des utilisateurs non avertis en soient victimes.

Fonctionnement de CrashStealer

Selon l'analyse de la société de sécurité Jamf, CrashStealer se fait passer pour une application légitime, souvent déguisée en plateforme de réunion appelée «Werkbit». Une fois l'utilisateur piégé et ayant téléchargé le logiciel, celui-ci utilise un programme d'installation signé et notarié par Apple. En exploitant cette signature d'apparence officielle, le logiciel malveillant parvient à contourner Gatekeeper de macOS, le mécanisme de sécurité conçu pour empêcher l'exécution de logiciels non autorisés ou malveillants sur le système d'exploitation.

Anatomie de l'attaque

Au lancement, l'application affiche une fausse invite système demandant le mot de passe de l'utilisateur— une situation courante lors de l'installation de logiciels légitimes. Lorsqu'une victime cède et saisit ses identifiants, le logiciel malveillant obtient l'autorisation d'accéder au Trousseau d'accès macOS. Ce coffre-fort chiffré contient des données hautement sensibles, notamment: les identifiants de connexion Safari, les mots de passe des applications et les clés de réseau Wi-Fi. Outre le Trousseau d'accès, le logiciel malveillant est capable de récupérer les cookies et les identifiants de connexion des navigateurs tels que Chrome, Firefox et autres navigateurs basés sur Chromium. Il cible également les données d'environ 80 extensions de portefeuilles de cryptomonnaies différentes et de plusieurs applications de gestion de mots de passe populaires, telles que 1Password et LastPass.

Exfiltration de données

Une fois les informations sensibles collectées, CrashStealer chiffre les données volées, les compresse dans des fichiers ZIP cachés et les télécharge sur un serveur de commande et de contrôle (C&C) distant exploité par les attaquants.

Comment protéger votre Mac

Pour se protéger contre cette menace et d'autres similaires, les utilisateurs doivent suivre ces bonnes pratiques de sécurité:

1. Évitez l'installation d'applications hors du Mac App Store: Installez uniquement les logiciels provenant du Mac App Store ou directement depuis les sites web de développeurs de confiance et vérifiés.
2. Soyez prudent face aux invites: Soyez très sceptique face aux invites de mot de passe système inattendues, en particulier celles qui apparaissent après l'installation d'une nouvelle application.
3. Mettez en œuvre des mesures de sécurité supplémentaires: Bien que Gatekeeper constitue une première ligne de défense efficace, il ne suffit pas à lui seul. infaillible. L'utilisation d'un logiciel antivirus tiers réputé pour macOS peut fournir une couche de protection secondaire essentielle.
4. Restez vigilant: Vérifiez toujours l'authenticité de tout logiciel ou programme d'installation, en particulier s'il a été obtenu à partir d'une source non officielle ou d'un lien non sollicité.