{"id":30901,"date":"2026-08-07T13:51:10","date_gmt":"2026-08-07T11:51:10","guid":{"rendered":"https:\/\/www.kaspersky.it\/blog\/?p=30901"},"modified":"2026-08-07T13:51:10","modified_gmt":"2026-08-07T11:51:10","slug":"crashstealer-werkbit-macos-infostealer","status":"publish","type":"post","link":"https:\/\/www.kaspersky.it\/blog\/crashstealer-werkbit-macos-infostealer\/30901\/","title":{"rendered":"CrashStealer: malware autenticato per macOS"},"content":{"rendered":"

Gli utenti Mac storicamente si fidano della sicurezza integrata nel proprio sistema operativo. Questa tranquillit\u00e0 deriva principalmente dallo stretto controllo di Apple sul proprio ecosistema e dal fatto che macOS ha storicamente affrontato meno attacchi di massa rispetto a Windows. Tuttavia, ci\u00f2 non significa che i Mac non siano vulnerabili: le minacce esistono e ne emergono di nuove continuamente. Solo nelle ultime settimane, i ricercatori della sicurezza hanno pubblicato rapporti su almeno due nuove campagne rivolte ai dispositivi Apple.<\/p>\n

Il malware utilizzato in una delle campagne \u00e8 stato soprannominato CrashStealer<\/a>, mentre l\u2019altra \u00e8 nota come ClickLock<\/a>. Entrambi fanno affidamento su diversi trucchi per costringere gli utenti a immettere la password del Mac, che gli autori degli attacchi utilizzano quindi per rubare le credenziali dell\u2019account, le criptovalute, i documenti e molto altro. Nel post di oggi, esamineremo da vicino come funziona CrashStealer e come evitare di caderne vittima.<\/p>\n

Un\u2019app di videoconferenza con CrashStealer all\u2019interno<\/h2>\n

A maggio 2026 i ricercatori hanno individuato i primi segnali dello sviluppo di questo malware e all\u2019inizio di luglio lo hanno scoperto in esecuzione. Il malware si \u00e8 guadagnato il nome a causa del suo meccanismo di base: si traveste da strumento di segnalazione degli arresti anomali (CrashReporter) integrato in macOS funzionando come un infostealer progettato per violare i dati sensibili.<\/p>\n

I ricercatori sono riusciti a rintracciare uno dei siti Web visitati dagli utenti per scaricare il malware. Il sito rappresenta una piattaforma legittima per la distribuzione dello strumento di videoconferenza Werkbit.<\/p>\n

\"Un<\/a>

Secondo i ricercatori, questo \u00e8 il sito utilizzato dalle vittime per scaricare Werkbit, che conteneva segretamente il caricatore di malware CrashStealer. Fonte<\/a><\/p><\/div>\n

Tuttavia, non \u00e8 possibile semplicemente visitare il sito e scaricare il software. Prima del download, ai visitatori viene richiesto di immettere un PIN riunione speciale. Questa configurazione consente probabilmente agli autori degli attacchi di limitare l\u2019ambito di distribuzione prendendo di mira solo vittime specifiche e preselezionate. Rimane sconosciuto il modo esatto in cui i criminali informatici scelgano i propri bersagli e inviino il PIN.<\/p>\n

Gli utenti \u201cfortunati\u201d con un codice finiscono per installare il carico utile dannoso iniziale, denominato Werkbit Setup. \u00c8 interessante notare che \u00e8 dotato di un certificato sviluppatore Apple valido e ha superato con successo il processo di autenticazione di Apple, il che significa che ha cancellato la scansione preliminare automatizzata che ricerca codice dannoso. In seguito a questa operazione, gli autori dell\u2019attacco riescono a ignorare la difesa Gatekeeper integrata nel sistema operativo. Ci\u00f2 consente al carico utile di avviarsi senza attivare i consueti avvisi di software non attendibile.<\/p>\n

\"Programma<\/a>

Il programma di installazione di Werkbit Setup viene firmato con un certificato sviluppatore Apple valido e ha superato l\u2019autenticazione. Fonte<\/a><\/p><\/div>\n

Una volta avviato, il programma di installazione di Werkbit contatta GitHub. I ricercatori ritengono che l\u2019utilizzo di questa popolare piattaforma aiuti gli autori degli attacchi a mimetizzarsi facendo sembrare queste richieste iniziali di rete molto meno sospette agli strumenti di sicurezza. Dopo aver recuperato le istruzioni da un archivio GitHub, il programma si connette direttamente al server degli autori dell\u2019attacco per recuperare lo stesso CrashStealer.<\/p>\n

Il caricatore quindi salva il malware in una cartella temporanea macOS, la avvia e cancella la maggior parte dei file di installazione intermedi. In seguito a questa operazione, un infostealer completamente funzionale \u00e8 attivo e operativo in pochi secondi dall\u2019avvio del programma di installazione di Werkbit. Per inciso, l\u2019utente non ottiene mai alcuna app di videoconferenza.<\/p>\n

Come funziona CrashStealer<\/h2>\n

A differenza del caricatore di installazione di Werkbit, il malware CrashStealer stesso non \u00e8 firmato con un certificato sviluppatore Apple. Per impedire agli utenti di sospettare qualcosa, il malware si traveste da CrashReporter, lo strumento di segnalazione degli arresti anomali macOS integrato, utilizzando esattamente lo stesso nome, l\u2019identificatore dell\u2019app e un\u2019icona simile.<\/p>\n

Una volta avviato, CrashStealer completa una sequenza di passaggi per ottenere l\u2019accesso ai dati sensibili, stabilire la persistenza nel sistema e coprirne le tracce:<\/p>\n

    \n
  1. Rimuovere i metadati, incluso l\u2019attributo che segnala l\u2019app come download Internet.<\/li>\n
  2. Visualizzare un falso prompt di sistema che richiede la password macOS dell\u2019utente.<\/li>\n
  3. Utilizzare le credenziali acquisite in precedenza per ottenere l\u2019accesso a Keychain, il gestore di password integrato in macOS.<\/li>\n
  4. Controllare nel computer la presenza di strumenti di protezione installati e software di analisi del malware.<\/li>\n
  5. Raccogliere password del browser, cookie, contenuti Keychain e dati salvati da altri gestori di password e portafogli di criptovaluta.<\/li>\n
  6. Criptare i dati rubati e prepararli per l\u2019inoltro al server degli autori dell\u2019attacco.<\/li>\n
  7. Creare una copia di se stesso e stabilire la persistenza per l\u2019avvio automatico ogni volta che macOS viene avviato.<\/li>\n
  8. Eliminare i file temporanei e altre tracce di installazione per rendere molto pi\u00f9 difficile il rilevamento.<\/li>\n<\/ol>\n

    Il secondo passaggio merita uno sguardo pi\u00f9 approfondito. La richiesta della password visualizzata dall\u2019utente sembra estremamente convincente. Inoltre, il malware verifica immediatamente se le credenziali sono corrette: se si commette un errore di battitura e si immette una password non valida, CrashStealer riaprir\u00e0 immediatamente la finestra per chiedertele nuovamente.<\/p>\n

    \"Richiesta<\/a>

    Una volta avviato, CrashStealer visualizza un pop-up che imita la richiesta standard della password macOS. Fonte <\/a><\/p><\/div>\n

    Quali dati cerca CrashStealer?<\/h2>\n

    La lista nera di CrashStealer \u00e8 enorme. In primo luogo, i relativi operatori prendono di mira Keychain: il gestore di password integrato macOS in cui il sistema archivia credenziali dell\u2019account, chiavi di criptaggio, certificati, token e altro ancora.<\/p>\n

    Neanche gli utenti di gestori di password di terze parti sono al sicuro: il malware ruba dati da 14 di questi servizi, tra cui 1Password, Bitwarden, LastPass, Dashlane, Keeper, KeePassXC, NordPass, Enpass e RoboForm.<\/p>\n

    Inoltre, il malware raccoglie tutte le credenziali e i cookie archiviati nei browser basati su Chromium (Chrome, Brave, Edge, Opera, Opera GX, Vivaldi, Chromium e NAVER Whale) nonch\u00e9 in Firefox. Gli autori dell\u2019attacco hanno chiaramente un forte interesse per le criptovalute: CrashStealer prende di mira in modo specifico i dati provenienti da 80 diverse estensioni di criptovalute, tra cui MetaMask, Phantom, Coinbase Wallet, Trust Wallet, Rabby, Exodus, Keplr e Solflare.<\/p>\n

    Infine, il malware esegue la scansione delle cartelle Documenti e Download per selezionare i file che potrebbero interessare i criminali informatici. CrashStealer cripta tutti i dati rubati con l\u2019algoritmo AES-256-GCM, li comprime e li invia al server degli utenti malintenzionati.<\/p>\n

    Come proteggere l\u2019azienda<\/h2>\n

    Il picco di attacchi in macOS \u00e8 un chiaro campanello d\u2019allarme: gli utenti Apple devono essere proattivi riguardo alla propria sicurezza. Consigliamo:<\/p>\n