CrashStealer: il nuovo malware per macOS che sfrutta certificati Apple validi

Negli ultimi mesi i ricercatori di sicurezza informatica hanno individuato una nuova minaccia mirata ai dispositivi macOS. Denominato CrashStealer, questo malware rappresenta un'evoluzione nelle tecniche di attacco rivolte all'ecosistema Apple, sfruttando canali di distribuzione apparentemente legittimi e certificati sviluppatore validi per aggirare le difese integrate del sistema operativo.

Come si diffonde e come agisce CrashStealer

La campagna di infezione prende solitamente il via da siti web che distribuiscono software apparentemente innocuo, tra cui strumenti di videoconferenza come Werkbit. Per accedere al download, agli utenti viene richiesto un codice PIN specifico, un filtro ideato dai cybercriminali per colpire bersagli mirati. Il pacchetto di installazione iniziale risulta firmato con un certificato sviluppatore Apple autentico, dettaglio che gli permette di superare i controlli automatici di macOS e di eludere temporaneamente il blocco di sicurezza Gatekeeper.

Una volta eseguito, il programma scarica il vero e proprio payload nocivo sfruttando piattaforme di pubblico dominio come GitHub per mimetizzare il traffico di rete. Il malware adotta diverse contromisure per passare inosservato:

• Utilizza lo stesso nome, l'identificatore e un'icona identica al legittimo CrashReporter di macOS.
• Rimuove i metadati che identificano il file come download proveniente da internet.
• Cerca sul disco strumenti di analisi e software di protezione per valutarne la presenza.
• Pulisce i file temporanei al termine dell'installazione per cancellare le tracce.

Quali dati vengono presi di mira e come difendersi

Il principale obiettivo del malware è il furto di informazioni sensibili. CrashStealer punta dritto al portachiavi Keychain di macOS, ai dati di navigazione di numerosi browser e alle credenziali memorizzate da diversi password manager di terze parti. Particolare attenzione viene riservata anche alle estensioni dei wallet di criptovalute installate sui browser.

Per mantenere il Mac al sicuro e ridurre al minimo i rischi di compromissione, è fondamentale adottare alcune semplici regole di comportamento:

• Scaricare applicazioni esclusivamente dal Mac App Store ufficiale o da sviluppatori verificati e noti.
• Verificare con attenzione la legittimità di qualsiasi richiesta di inserimento della password amministrativa di sistema.
• Mantenere aggiornato il sistema operativo e installare una soluzione di sicurezza affidabile.
• Evitare di utilizzare codici di invito o PIN sconosciuti per scaricare software da siti terzi.

Prestare attenzione ai dettagli visivi delle finestre di dialogo e mantenere alta la soglia di attenzione quando viene richiesta la password di sblocco del computer costituiscono la prima linea di difesa efficace contro questa tipologia di minacce informatiche.

Domande frequenti

Cos'è CrashStealer e come infetta i Mac?

CrashStealer è un infostealer per macOS che si nasconde all'interno di installer di app apparentemente legittime, sfruttando certificati sviluppatore validi per bypassare i controlli di sicurezza.

Quali informazioni riesce a rubare questo malware?

Il software maligno raccoglie credenziali dai browser, dati dal portachiavi Keychain, informazioni da diversi gestori di password e chiavi relative a estensioni di wallet di criptovalute.

Come si riconosce una falsa richiesta di password?

Le finestre contraffatte imitano fedelmente quelle di sistema, ma spesso tendono a riapparire immediatamente se si digita una password errata, sfruttando la verifica in tempo reale integrata dal codice malevolo.