Jamf Threat Labs a identifié un nouveau malware macOS baptisé CrashStealer. Sa particularité tient surtout à sa première étape : l’infection commençait par une application disposant d’un Developer ID valide et notarizée par Apple, ce qui lui permettait de passer Gatekeeper sans afficher l’alerte habituelle sur un développeur inconnu.
D’après Jamf, les premiers échantillons suspects ont été vus sur VirusTotal au début du mois de mai, avant des détections concordantes sur des Mac de clients début juillet. Apple a ensuite révoqué les identifiants de signature associés après un signalement transmis à son équipe sécurité.
Une fausse app de réunion comme point d’entrée
Selon l’analyse de Jamf, la chaîne d’attaque démarrait avec Werkbit, présentée comme une application de réunion ou de collaboration et distribuée via le domaine werkbit[.]io. Le téléchargement était protégé par un code PIN de réunion, un détail qui laisse penser à une diffusion ciblée, tout en limitant l’exposition de la page aux visiteurs ordinaires et aux outils d’analyse automatisés.
L’exécutable, nommé veltod, était notarizé par Apple, et l’image disque était elle aussi signée. Une fois lancée, l’application allait chercher des instructions dissimulées depuis un dépôt GitHub, puis téléchargeait un script obfusqué hébergé sur une infrastructure contrôlée par les attaquants. Ce script récupérait ensuite CrashStealer, le re-signait et le lançait.
Jamf relie aussi cette opération à d’autres domaines imitant des services de réunion, ainsi qu’à un installeur Windows retrouvé dans le même ensemble. L’ensemble suggère une campagne plus large qu’un simple cas isolé sur Mac.
Un faux composant système pour récupérer le mot de passe
La charge finale était empaquetée dans un fichier nommé CrashReporter.dmg. L’application affichée, CrashReporter.app, reprenait le nom, l’icône et même l’identifiant com.apple.crashreporter afin d’imiter un composant légitime de macOS. D’après Jamf, elle demandait aussi des autorisations étendues, notamment l’accès complet au disque, au Bureau, aux Documents, aux Téléchargements et aux volumes amovibles, avec une justification présentée comme de la « system administration ».
Après ouverture, le malware affichait une fenêtre d’autorisation très proche du style de macOS pour pousser l’utilisateur à saisir le mot de passe de sa session. Jamf précise que ce mot de passe était vérifié localement avec la commande légitime dscl : si la saisie était erronée, la fenêtre revenait ; si elle était correcte, l’attaque continuait.
Les échantillons étudiés ne montrent aucun mécanisme zero-click : la victime devait télécharger l’app, l’ouvrir, laisser la chaîne d’exécution se poursuivre et entrer un mot de passe Mac valide. Une fois ce mot de passe obtenu, CrashStealer déverrouillait le trousseau de connexion, copiait login.keychain-db dans un dossier caché et préparait les données pour l’exfiltration.
Navigateurs, portefeuilles crypto et gestionnaires de mots de passe visés
Selon Jamf, le code ciblait aussi Chrome, Edge, Brave, Firefox, Opera, Vivaldi et d’autres navigateurs, avec les profils, les cookies, les identifiants enregistrés et les données d’extensions. Les chercheurs ont également relevé une liste d’environ 80 extensions de portefeuilles crypto et 14 gestionnaires de mots de passe.
Parmi les services mentionnés figurent notamment 1Password, Bitwarden, LastPass, Dashlane, Keeper, KeePassXC et NordPass.
Ce que ça change
Cette campagne rappelle qu’une app notarizée n’est pas, à elle seule, une garantie absolue de sécurité. Ici, la confiance initiale venait de l’apparence légitime de l’application et de sa signature, pas d’une faille zero-click dans macOS.
Pour les utilisateurs de Mac, le signal d’alerte le plus important reste une demande de mot de passe système sans contexte clair, surtout après un téléchargement non sollicité. La révocation par Apple limite cette souche précise, mais la méthode décrite par Jamf — faux service crédible, app signée, imitation d’une fenêtre système — mérite une vigilance particulière.
À lire aussi
- macOS 27 bêta 3 : des testeurs signalent des corruptions de fichiers APFS
- iOS 27 et macOS Golden Gate : les bêtas publiques arriveraient dès cette semaine
- iOS 27 : une démo montre Stage Manager activé sur iPhone
Source : Jamf Threat Labs — CrashStealer macOS infostealer analysis
