Jamf Threat Labs berichtete über die Entdeckung eines neuen Mac-Informationsdiebstahlers namens CrashStealer, der sich als Absturzmeldesoftware von Apple ausgibt. Die Malware wurde erstmals im Mai 2026 während ihrer Entwicklungsphase verfolgt, wobei aktive Angriffe bereits Anfang Juli 2026 erkannt wurden.
CrashStealer ist darauf ausgelegt, vertrauliche Informationen wie Browser-Anmeldeinformationen, Passwort-Manager-Daten und Kryptowährungs-Wallet-Details zu sammeln, einschließlich Daten aus dem Mac-Anmeldeschlüsselbund. Einzigartig ist, dass es im Gegensatz zu vielen anderen Mac-Stealern, die AppleScript verwenden, in nativem C++ codiert ist.
Die Malware verschlüsselt die gesammelten Dateien, bevor sie sie an einen vom Angreifer kontrollierten Server überträgt. Um einer Entdeckung zu entgehen, sind Anti-Debugging-Funktionen integriert, was die Forschungsbemühungen erschwert. Der Angriff wird über ein Disk-Image mit der Bezeichnung „Werkbit Setup“ eingeleitet.
Dieses Disk-Image enthält ein ausgefeiltes Installationsprogramm, das Benutzer dazu auffordert, mit der rechten Maustaste zu klicken und „Öffnen“ auszuwählen, um eine Mac-Sicherheitswarnung zu umgehen. Das Installationsprogramm verfügt über eine gültige Apple-Entwickler-ID und eine Beglaubigung, sodass es beim ersten Start die Gatekeeper-Sicherheitsmaßnahmen von Apple bestehen kann.
Auf der Website, auf der das Werkbit-Setup verbreitet wird, mussten Benutzer eine Besprechungs-PIN eingeben, möglicherweise um den Zugriff auf bestimmte Personen zu kontrollieren. Nach der Ausführung stellt Werkbit Setup eine Verbindung zu GitHub her, lädt ein Skript herunter und installiert ein zweites Disk-Image namens CrashReporter.dmg in einem versteckten temporären Ordner. Die Malware verwendet den Namen CrashReporter mit der Bundle-ID com.apple.crashreporter, die Apple-Systemkomponenten nachahmt.
Apple setzt Gatekeeper- und Beglaubigungsprozesse ein, um die Risiken durch heruntergeladene Anwendungen zu mindern. Jamf warnte jedoch davor, dass schädliche Anwendungen die Erkennung umgehen können, insbesondere wenn sie vertrauenswürdige Installationsprogramme verwenden, um anschließend andere Nutzlasten bereitzustellen. Nach der Identifizierung bösartiger Aktivitäten meldete Jamf das Entwicklerteam hinter Werkbit Setup an Apple, Details zur Anzahl der Infektionen wurden jedoch nicht bekannt gegeben.
Nach dem Start fordert CrashStealer Benutzer auf eine Weise zur Eingabe eines Passworts auf, die legitime macOS-Eingabeaufforderungen nachahmt. Die Malware überprüft lokal das eingegebene Passwort und kann, falls korrekt, den Login-Schlüsselbund entsperren und so eine weitere Datenerfassung ermöglichen.
CrashStealer durchsucht den Speicher des Mac nach Daten von Chromium-basierten Browsern, Safari, Firefox und verschiedenen Kryptowährungs-Wallet-Erweiterungen, darunter MetaMask und Phantom. Es zielt auf über 80 Wallet-Erweiterungen und 14 Passwort-Manager ab und verwendet außerdem ein Dateisuchtool, um nach vertraulichen Dokumenten zu suchen und gleichzeitig größere Installationsprogramme und Mediendateien zu vermeiden.
Die gesammelten Daten werden in versteckten Ordnern gespeichert und mit AES-256-GCM verschlüsselt, bevor sie zum Hochladen in versteckte ZIP-Archive verpackt werden. Darüber hinaus installiert sich CrashStealer im Cache-Ordner der Bibliothek und erstellt einen LaunchAgent für die Persistenz während der Benutzeranmeldung.
Benutzern wird empfohlen, beim Herunterladen von Installationsprogrammen Vorsicht walten zu lassen und alle unerwartet auftretenden Passwortabfragen genau zu prüfen. Zu den Empfehlungen zur Verhinderung dieser Malware gehören die Nutzung des Mac App Store, die sorgfältige Überprüfung der Entwicklerquellen und Vorsicht bei Installationsprogrammen, die explizite Benutzeraktionen erfordern.
