بدافزار macOS با نام CrashStealer از دراپر تأییدشده برای عبور از بررسی‌های Gatekeeper استفاده می‌کند

محققان امنیت سایبری یک بدافزار سارق اطلاعات (information stealer) جدید برای macOS به نام CrashStealer شناسایی کرده‌اند که قادر است داده‌های حساس کاربران را از سیستم‌های آلوده استخراج کند. بر اساس گزارش آزمایشگاه تهدیدات Jamf، این بدافزار برخلاف نمونه‌های مشابه، به زبان C++ بومی نوشته شده و از طریق یک فایل تصویر دیسک (disk image) به نام «Werkbit.app» توزیع می‌شود که دارای امضای معتبر توسعه‌دهنده و تأییدیه Apple (notarization) است و بنابراین از بررسی‌های Gatekeeper عبور می‌کند. این بدافزار پیش از سرقت اطلاعات، رمز ورود قربانی را به‌صورت محلی تأیید می‌کند، سپس داده‌ها را از مرورگرها، کیف پول‌های ارز دیجیتال (cryptocurrency wallets)، مدیران رمز عبور (password managers) و زنجیره کلید (keychain) جمع‌آوری کرده و پیش از ارسال به سرور مهاجم، با الگوریتم AES-GCM رمزنگاری می‌کند.

دامنه عملکرد CrashStealer بسیار گسترده است و شامل سرقت اطلاعات از مرورگرهای خانواده Chromium، حدود ۸۰ افزونه کیف پول ارز دیجیتال از جمله MetaMask، Phantom و Coinbase، ۱۴ مدیر رمز عبور از جمله 1Password، Bitwarden و LastPass، و همچنین فایل‌های موجود در پوشه‌های Documents و Downloads می‌شود. Jamf تأکید کرده که آنچه این بدافزار را از سایر سارقان اطلاعات متمایز می‌کند، نه صرفاً داده‌هایی که جمع‌آوری می‌کند، بلکه روش پیچیده ساخت آن است؛ از جمله رمزنگاری سمت کلاینت، مقاومت در برابر تحلیل از طریق تسطیح جریان کنترل (control-flow flattening) و رشته‌های رمزشده. شواهد موجود نشان می‌دهد این بدافزار بخشی از یک کمپین گسترده‌تر چندسکویی (multi-platform) است.