macOS
Gli utenti Mac storicamente si fidano della sicurezza integrata nel proprio sistema operativo. Questa tranquillità deriva principalmente dallo stretto controllo di Apple sul proprio ecosistema e dal fatto che macOS ha storicamente affrontato meno attacchi di massa rispetto a Windows. Tuttavia, ciò non significa che i Mac non siano vulnerabili: le minacce esistono e ne emergono di nuove continuamente. Solo nelle ultime settimane, i ricercatori della sicurezza hanno pubblicato rapporti su almeno due nuove campagne rivolte ai dispositivi Apple.
Il malware utilizzato in una delle campagne è stato soprannominato CrashStealer, mentre l’altra è nota come ClickLock. Entrambi fanno affidamento su diversi trucchi per costringere gli utenti a immettere la password del Mac, che gli autori degli attacchi utilizzano quindi per rubare le credenziali dell’account, le criptovalute, i documenti e molto altro. Nel post di oggi, esamineremo da vicino come funziona CrashStealer e come evitare di caderne vittima.
Un’app di videoconferenza con CrashStealer all’interno
A maggio 2026 i ricercatori hanno individuato i primi segnali dello sviluppo di questo malware e all’inizio di luglio lo hanno scoperto in esecuzione. Il malware si è guadagnato il nome a causa del suo meccanismo di base: si traveste da strumento di segnalazione degli arresti anomali (CrashReporter) integrato in macOS funzionando come un infostealer progettato per violare i dati sensibili.
I ricercatori sono riusciti a rintracciare uno dei siti Web visitati dagli utenti per scaricare il malware. Il sito rappresenta una piattaforma legittima per la distribuzione dello strumento di videoconferenza Werkbit.
Secondo i ricercatori, questo è il sito utilizzato dalle vittime per scaricare Werkbit, che conteneva segretamente il caricatore di malware CrashStealer. Fonte
Tuttavia, non è possibile semplicemente visitare il sito e scaricare il software. Prima del download, ai visitatori viene richiesto di immettere un PIN riunione speciale. Questa configurazione consente probabilmente agli autori degli attacchi di limitare l’ambito di distribuzione prendendo di mira solo vittime specifiche e preselezionate. Rimane sconosciuto il modo esatto in cui i criminali informatici scelgano i propri bersagli e inviino il PIN.
Gli utenti “fortunati” con un codice finiscono per installare il carico utile dannoso iniziale, denominato Werkbit Setup. È interessante notare che è dotato di un certificato sviluppatore Apple valido e ha superato con successo il processo di autenticazione di Apple, il che significa che ha cancellato la scansione preliminare automatizzata che ricerca codice dannoso. In seguito a questa operazione, gli autori dell’attacco riescono a ignorare la difesa Gatekeeper integrata nel sistema operativo. Ciò consente al carico utile di avviarsi senza attivare i consueti avvisi di software non attendibile.
Il programma di installazione di Werkbit Setup viene firmato con un certificato sviluppatore Apple valido e ha superato l’autenticazione. Fonte
Una volta avviato, il programma di installazione di Werkbit contatta GitHub. I ricercatori ritengono che l’utilizzo di questa popolare piattaforma aiuti gli autori degli attacchi a mimetizzarsi facendo sembrare queste richieste iniziali di rete molto meno sospette agli strumenti di sicurezza. Dopo aver recuperato le istruzioni da un archivio GitHub, il programma si connette direttamente al server degli autori dell’attacco per recuperare lo stesso CrashStealer.
Il caricatore quindi salva il malware in una cartella temporanea macOS, la avvia e cancella la maggior parte dei file di installazione intermedi. In seguito a questa operazione, un infostealer completamente funzionale è attivo e operativo in pochi secondi dall’avvio del programma di installazione di Werkbit. Per inciso, l’utente non ottiene mai alcuna app di videoconferenza.
Come funziona CrashStealer
A differenza del caricatore di installazione di Werkbit, il malware CrashStealer stesso non è firmato con un certificato sviluppatore Apple. Per impedire agli utenti di sospettare qualcosa, il malware si traveste da CrashReporter, lo strumento di segnalazione degli arresti anomali macOS integrato, utilizzando esattamente lo stesso nome, l’identificatore dell’app e un’icona simile.
Una volta avviato, CrashStealer completa una sequenza di passaggi per ottenere l’accesso ai dati sensibili, stabilire la persistenza nel sistema e coprirne le tracce:
- Rimuovere i metadati, incluso l’attributo che segnala l’app come download Internet.
- Visualizzare un falso prompt di sistema che richiede la password macOS dell’utente.
- Utilizzare le credenziali acquisite in precedenza per ottenere l’accesso a Keychain, il gestore di password integrato in macOS.
- Controllare nel computer la presenza di strumenti di protezione installati e software di analisi del malware.
- Raccogliere password del browser, cookie, contenuti Keychain e dati salvati da altri gestori di password e portafogli di criptovaluta.
- Criptare i dati rubati e prepararli per l’inoltro al server degli autori dell’attacco.
- Creare una copia di se stesso e stabilire la persistenza per l’avvio automatico ogni volta che macOS viene avviato.
- Eliminare i file temporanei e altre tracce di installazione per rendere molto più difficile il rilevamento.
Il secondo passaggio merita uno sguardo più approfondito. La richiesta della password visualizzata dall’utente sembra estremamente convincente. Inoltre, il malware verifica immediatamente se le credenziali sono corrette: se si commette un errore di battitura e si immette una password non valida, CrashStealer riaprirà immediatamente la finestra per chiedertele nuovamente.
Una volta avviato, CrashStealer visualizza un pop-up che imita la richiesta standard della password macOS. Fonte
Quali dati cerca CrashStealer?
La lista nera di CrashStealer è enorme. In primo luogo, i relativi operatori prendono di mira Keychain: il gestore di password integrato macOS in cui il sistema archivia credenziali dell’account, chiavi di criptaggio, certificati, token e altro ancora.
Neanche gli utenti di gestori di password di terze parti sono al sicuro: il malware ruba dati da 14 di questi servizi, tra cui 1Password, Bitwarden, LastPass, Dashlane, Keeper, KeePassXC, NordPass, Enpass e RoboForm.
Inoltre, il malware raccoglie tutte le credenziali e i cookie archiviati nei browser basati su Chromium (Chrome, Brave, Edge, Opera, Opera GX, Vivaldi, Chromium e NAVER Whale) nonché in Firefox. Gli autori dell’attacco hanno chiaramente un forte interesse per le criptovalute: CrashStealer prende di mira in modo specifico i dati provenienti da 80 diverse estensioni di criptovalute, tra cui MetaMask, Phantom, Coinbase Wallet, Trust Wallet, Rabby, Exodus, Keplr e Solflare.
Infine, il malware esegue la scansione delle cartelle Documenti e Download per selezionare i file che potrebbero interessare i criminali informatici. CrashStealer cripta tutti i dati rubati con l’algoritmo AES-256-GCM, li comprime e li invia al server degli utenti malintenzionati.
Come proteggere l’azienda
Il picco di attacchi in macOS è un chiaro campanello d’allarme: gli utenti Apple devono essere proattivi riguardo alla propria sicurezza. Consigliamo:
- di eseguire una ricerca delle app online prima di installarle
- di attenersi alle utilità degli app store ufficiali, quando possibile
- di utilizzare una soluzione di protezione affidabile che blocca i siti Web dannosi e arresta l’attività dei malware nel dispositivo
- di tenere tutte le credenziali e i dati bancari in un gestore di password sicuro. Un’opzione è Kaspersky Password Manager che, in particolare, non era elencata tra le app prese di mira da CrashStealer
Le soluzioni di protezione Kaspersky rilevano il malware descritto in questo post e gli assegnano i verdetti HEUR:Trojan-Downloader.OSX.Agent.gen e HEUR:Trojan-PSW.OSX.Agent.gen.
Consigli