新型 CrashStealer 恶意软件伪装成 Apple 崩溃报告工具

一种名为 CrashStealer 的新型 macOS 信息窃取恶意软件伪装成 Apple 的崩溃报告工具，以窃取凭证、钥匙串数据和加密货币钱包。
恶意软件研究人员从 5 月开始追踪该恶意软件，当时它似乎仍在开发中，但在 7 月初观察到其已被用于攻击。
CrashStealer 拥有典型的信息窃取程序功能集，似乎专注于密码管理器以及超过 80 种加密货币钱包扩展。
经过公证的恶意软件投放器
CrashStealer 信息窃取程序的二进制文件通过使用 "CrashReporter.app" 这一名称来冒充 Apple 的系统组件，试图逃避用户的审查以及潜在的安全工具。
除了名称之外，该恶意软件还创建了一个名为 "com.apple.crashreporter.helper" 的 LaunchAgent，并使用合法工具的图标和元数据，以尽可能模仿合法工具。
据为 Apple 设备提供管理和安全解决方案的公司 Jamf 的研究人员称，该有效载荷是通过一个经过签名和 Apple 公证的安装程序（"Werkbit Setup"）传递的。
这使得它能够绕过 macOS 内置的防恶意软件 Gatekeeper，而不会发出任何警告。
启动时，该恶意软件会显示一个虚假的 macOS 密码提示，以使用户相信他们正在授权一个需要管理员权限的合法系统操作。
该密码可以解锁用户的 Keychain，其中包含本地存储的密钥，并充当 macOS 的加密密码库，通常包含 Safari 登录信息、Wi-Fi 密码、应用程序密码、私钥、证书和令牌。
当用户输入密码后，恶意软件会使用 "dscl"（目录服务命令行工具）在本地验证该密码。如果密码不正确，CrashStealer 会返回一个身份验证错误，提示用户重新输入。
除了钥匙串数据外，Jamf 的分析表明，CrashStealer 还针对以下数据：

• 来自 Chromium 内核浏览器和 Firefox 的浏览器凭证和 cookies
• 80 种加密货币钱包扩展，包括 MetaMask、Phantom、Coinbase Wallet、Trust Wallet、Rabby、Exodus、Keplr 和 Solflare
• 14 个密码管理器，包括 1Password、Bitwarden、LastPass、Dashlane、Keeper、KeePassXC、NordPass、Enpass 和 RoboForm
• 来自用户目录（如 Documents 和 Downloads）的文件，同时有意跳过大型媒体文件、安装程序和系统目录
  在窃取数据之前，CrashStealer 使用 AES-256-GCM 算法对其进行加密，这对于此类操作来说是一种异常强大的方法，然后将其打包到隐藏的 ZIP 存档中，并使用 libcurl 将压缩后的数据上传到命令与控制（C2）服务器。

Jamf 研究人员表示，尽管目标与其他信息窃取程序家族（例如 Atomic、MacSync 和 Phexia）有重叠，但 CrashStealer 因其客户端加密机制和原生 C++ 实现而与众不同。
Jamf 没有分享关于 CrashStealer 确切初始分发方式的细节，但指出第一阶段有效载荷（Werkbit Setup）托管在一个于 6 月底注册的虚假软件网站上。
下载有效载荷需要通过一个会议 PIN 码验证，这表明该活动仅限于提供正确代码的访问者。
Jamf 研究人员表示，CrashStealer 活动是一次谨慎的行动，通过使用经过签名和公证的恶意软件投放器以及一个会重新签名以实现持久化的有效载荷，专注于隐蔽性。
重新签名过程的目的是重写二进制文件中的代码签名数据，这会导致文件具有不同的哈希值，尽管代码保持不变。
Jamf 关于 CrashStealer 的报告分享了一套全面的入侵指标，包括恶意工具的名称和哈希值，以及关于投递基础设施和文件系统工件的详细信息。