Фахівці з кібербезпеки виявили новий шкідливий програмний інструмент для операційної системи macOS, який маскується під офіційний засіб звітування про збої від Apple. Ця програма, названа дослідниками Jamf “CrashStealer”, здатна викрадати конфіденційні дані користувачів.
Розповсюджується шпигунське програмне забезпечення через фальшивий вебсайт під назвою “Werkbit Setup”. Цей ресурс, зареєстрований нещодавно, імітує легітимний джерело програмного забезпечення, щоб завантажити програму на комп’ютери користувачів.
Незважаючи на заходи безпеки Apple, такі як Gatekeeper, програма успішно обходить ці захисні механізми. Це стає можливим завдяки використанню підписаного та нотарізованого інсталяційного файлу, що зменшує підозри у користувачів.
Після встановлення, шпигунська програма створює фальшиве вікно запиту пароля, що імітує системний діалог macOS. Це дозволяє програмі отримати доступ до Keychain, сховища паролів та інших секретних даних користувача.
CrashStealer призначений для збору шифрувальних ключів, облікових даних для входу, файлів cookie з веббраузерів, а також інформації з більш ніж 80 криптогаманців та 14 менеджерів паролів.
Крім того, програма може викрадати локально збережені файли, чим розширює обсяг даних, які можуть бути скомпрометовані. Цей механізм доступу до даних користувачів становить значну загрозу безпеці.
Дослідники зазначають, що CrashStealer демонструє схожість з іншими відомими програмами-шпигунами, такими як AMOS, проте має унікальні особливості. Зокрема, це стосується власного механізму шифрування даних на стороні клієнта та реалізації на нативній мові C++.
Ці відмінності роблять CrashStealer потенційно більш небезпечним, оскільки він використовує інноваційні методи для приховування своєї діяльності та викрадення даних.
