Nowe złośliwe oprogramowanie CrashStealer podszywa się pod raporty awarii systemu macOS, aby przejąć hasła użytkowników

Analitycy bezpieczeństwa zidentyfikowali nowy, wyrafinowany program malware, atakujący użytkowników systemu macOS, o nazwie „CrashStealer”. To złośliwe oprogramowanie jest szczególnie niebezpieczne, ponieważ umiejętnie podszywa się pod narzędzia Apple do raportowania awarii systemu, co zwiększa prawdopodobieństwo, że ofiarą padną niczego niepodejrzewający użytkownicy.

Jak działa CrashStealer

Według analizy firmy Jamf, zajmującej się bezpieczeństwem, CrashStealer podszywa się pod legalną aplikację, często pod platformę konferencyjną znaną jako „Werkbit”. Po nakłonieniu użytkownika do pobrania oprogramowania, korzysta ono z podpisanego i poświadczonego notarialnie przez Apple instalatora. Wykorzystując ten oficjalnie wyglądający podpis, złośliwe oprogramowanie skutecznie omija macOS Gatekeeper, mechanizm bezpieczeństwa zaprojektowany w celu zapobiegania uruchamianiu nieautoryzowanego lub złośliwego oprogramowania w systemie operacyjnym.

Anatomia ataku

Po uruchomieniu aplikacja wyświetla fałszywy monit systemowy z prośbą o podanie hasła użytkownika – częsty widok w przypadku legalnych instalacji oprogramowania. Gdy ofiara zastosuje się do polecenia i poda swoje dane uwierzytelniające, złośliwe oprogramowanie uzyskuje autoryzację potrzebną do dostępu do pęku kluczy macOS. Ten zaszyfrowany sejf zawiera bardzo poufne dane, w tym:

• Dane logowania do Safari
• Hasła aplikacji
• Klucze sieci Wi-Fi

Poza pękiem kluczy, złośliwe oprogramowanie jest w stanie pozyskiwać pliki cookie i dane logowania z przeglądarek takich jak Chrome, Firefox i innych alternatywnych wersji opartych na Chromium. Ma on również na celu dane z około 80 różnych rozszerzeń portfeli kryptowalutowych i wielu popularnych aplikacji do zarządzania hasłami, takich jak 1Password i LastPass.

Eksfiltracja danych

Po zebraniu poufnych informacji CrashStealer szyfruje skradzione dane, kompresuje je do ukrytych plików ZIP i przesyła pakiety na zdalny serwer dowodzenia (C&C) obsługiwany przez atakujących.

Jak chronić komputer Mac

Aby bronić się przed tym i podobnymi zagrożeniami, użytkownicy powinni stosować się do następujących najlepszych praktyk bezpieczeństwa:

1. Unikaj pobierania z boku: Instaluj oprogramowanie tylko ze sklepu Mac App Store lub bezpośrednio z zaufanych, zweryfikowanych witryn programistów.
2. Zachowaj ostrożność w przypadku monitów: Zachowaj szczególną ostrożność w przypadku nieoczekiwanych monitów o hasło systemowe, zwłaszcza tych pojawiających się po zainstalowaniu nowej aplikacji.
3. Zastosuj dodatkowe Bezpieczeństwo: Chociaż Gatekeeper stanowi solidną pierwszą linię obrony, nie jest nieomylny. Korzystanie z renomowanego oprogramowania antywirusowego innej firmy dla systemu macOS może zapewnić niezbędną dodatkową warstwę ochrony.
4. Zachowaj czujność: Zawsze weryfikuj autentyczność oprogramowania lub instalatora, zwłaszcza jeśli został on pozyskany z nieoficjalnego źródła lub z niezamawianego linku.