CrashStealer: Malware macOS dùng bộ tải đã được notarize để vượt Gatekeeper
"Researchers identified CrashStealer, a native C++ macOS information stealer that uses a signed and Apple-notarized disk image dropper to bypass Gatekeeper checks. The malware validates the victim's password locally, steals browser, wallet, password manager, and keychain data, encrypts the loot with AES-GCM, and exfiltrates it to an attacker-controlled server; no CVE is mentioned."
Tác động chủ yếu là đánh cắp thông tin đăng nhập và keychain, mở rộng sang trình quản lý mật khẩu và tiện ích ví tiền mã hóa; dữ liệu sau đó được mã hóa AES-GCM trước khi rò rỉ, làm tăng khả năng qua mặt phân tích và giảm hiệu quả thu thập bằng kiểm tra thô.
Rủi ro vận hành đến từ việc mất dữ liệu nhạy cảm trên endpoint macOS và khả năng dẫn tới chiếm quyền tài khoản (đặc biệt với ví tiền mã hóa và mật khẩu). Chi phí xử lý thường gồm điều tra xâm nhập, thu hồi khóa/mật khẩu, và khôi phục keychain, nhưng không nêu rõ mức độ lan rộng hay tác động tài chính trực tiếp trong nguồn.
Các nhà nghiên cứu đã phát hiện CrashStealer, một phần mềm độc hại thu thập thông tin trên macOS được viết bằng C++. Theo Jamf Threat Labs, thay vì dùng các trình tải kiểu AppleScript hoặc wrapper Objective-C, CrashStealer thực hiện chuỗi tấn công theo hướng “native” và tập trung vào đánh cắp dữ liệu nhạy cảm.
Điểm đáng chú ý là cơ chế phân phối: kẻ tấn công dùng một dropper đã được ký và Apple-notarized dưới dạng disk image tên “Werkbit.app”, giúp vượt qua Gatekeeper nhờ trạng thái notarization hợp lệ và developer ID hợp lệ. Ảnh đĩa bắt nguồn từ miền werkbit[.]io (đăng ký tháng 6/2026) và việc tải xuống được ràng buộc bởi meeting PIN.
Khi chạy, thành phần “veltod” liên hệ GitHub để lấy “sys.cache”, trích lệnh curl để tải script tiếp theo, sau đó dàn payload vào /tmp (bao gồm “CrashReporter.dmg”). Malware thiết lập LaunchAgent, hiển thị prompt mật khẩu và xác thực cục bộ để mở keychain, đồng thời thu thập dữ liệu từ trình duyệt Chromium, khoảng 80 tiện ích ví tiền mã hóa, 14 trình quản lý mật khẩu và dữ liệu trong ~/Documents/~/Downloads. Dữ liệu được đóng gói ZIP, mã hóa bằng AES-GCM và exfiltrate tới máy chủ do kẻ tấn công kiểm soát (179.43.166[.]242). Khuyến nghị: rà soát thiết bị macOS có dấu hiệu chạy LaunchAgent lạ, hạn chế cài đặt từ nguồn không tin cậy, và giám sát lưu lượng tới các domain/endpoint liên quan.