CrashStealer 伪装成苹果崩溃报告器

关键信息

该恶意软件使用 CrashReporter.dmg 和 CrashReporter.app 这些名称，并配合看起来很正规的图标来模仿苹果的崩溃报告器。它还会显示一个假密码提示来解锁钥匙串，在本地验证被盗凭据，然后将数据以加密包形式发送到攻击者控制的服务器；研究人员还指出其投递程序带有有效签名并经过 Apple 公证，因此首次运行时可以通过 Gatekeeper。

资讯摘要

ZDNET 报道称，一种名为 CrashStealer 的新 macOS 恶意软件正在伪装成苹果的崩溃报告工具，以窃取用户的敏感数据。Jamf 网络安全研究人员在 7 月 13 日的一份通报中表示，他们最初是在 VirusTotal 上发现一个可疑上传样本后注意到这款恶意软件的。该样本是一个原生 C++ 信息窃取木马，研究人员认为它大约在 5 月就已进入开发阶段，如今已经被正式投放到真实环境中。在受感染的 Mac 上，它会使用 CrashReporter.dmg 和 CrashReporter.app 这些名称，并配合看起来很正规的图标，尽量伪装成苹果的合法工具。

它还会弹出一个假密码提示，模仿正常的 macOS 授权请求，试图解锁钥匙串。拿到凭据后，它会先在本地进行验证，然后继续攻击已安装的密码管理器、浏览器和加密货币钱包。被窃取的数据会被打包成加密形式并发送到攻击者控制的服务器。文章还提到，其主要 .dmg 以“Werkbit Setup”的名义分发，而投递程序带有签名并经过 Apple 公证，因此首次运行时可以通过 Gatekeeper。

来源与参考

1. 原始链接
2. New Mac malware masquerades as Apple's crash reporter: 3 ways to dodge the threat