Attenzione alle password: CrashStealer è un pericoloso malware Mac in grado di ingannarvi e rubarle e potenzialmente svuotarvi il portafogli.
Quello che tecnicamente si può definire un infostealer (un programma pensato per rubare informazioni sensibili dal computer infettato, password comprese) è stato scoperto da Jamf Threat Labs, che ammonisce gli utenti: chi cade nella trappola rischia di cedere l’accesso al proprio password manager e alle credenziali salvate nei browser.
Il meccanismo è quello che rende questa minaccia particolarmente pericolosa per chiunque, non solo per gli utenti più smaliziati. Il malware arriva mascherato da un’app per riunioni, Werkbit, che una volta installata scarica un finto strumento di sistema chiamato CrashReporter, costruito per sembrare in tutto e per tutto un componente Apple legittimo. Icona, nome, persino il prompt della password riproducono fedelmente l’aspetto delle richieste che macOS mostra normalmente, quelle a cui ogni utente è abituato a rispondere senza pensarci due volte.
CrashStealer non si limita a chiedere la password, la verifica anche, ripetendo la richiesta finché non ne riceve una corretta, un metodo usato anche da un altro malware: PamStealer. Solo a quel punto sblocca il portachiavi di sistema e comincia a raccogliere dati da Chrome, Brave, Edge, Vivaldi e altri browser, da una lunga lista di wallet come MetaMask, Phantom, Coinbase e Solflare, e da password manager diffusi come 1Password, Bitwarden e LastPass.
Ancora più preoccupante è il modo in cui il malware è riuscito a superare i controlli di Apple. Il dropper che lo distribuisce è firmato con un Developer ID valido ed è regolarmente notarizzato, un dettaglio che gli ha permesso di superare Gatekeeper senza destare alcun sospetto al primo avvio. Una volta scoperto l’abuso, Jamf ha segnalato il caso ad Apple, che secondo AppleInsider ha già revocato le credenziali dello sviluppatore coinvolto.
Come proteggersi da CrashStealer e minacce simili
Difendersi da CrashStealer non richiede competenze tecniche particolari. La prima regola riguarda la provenienza del software: app scaricate da link ricevuti via email, chat o inviti a riunioni non richiesti vanno trattate con sospetto, soprattutto fuori dai canali ufficiali o dal Mac App Store. La firma digitale e la notarizzazione Apple, come dimostra questo caso, non sono più garanzie assolute.
Il campanello d’allarme più affidabile resta il comportamento del sistema stesso: qualsiasi richiesta di password amministrativa dopo l’apertura di un’app appena scaricata merita una verifica immediata, prima di procedere. Chi vuole ripassare i meccanismi di difesa integrati in macOS, da Gatekeeper a XProtect, può farlo con questa guida di Macitynet su antivirus e sicurezza Mac.
Un antivirus aggiornato aiuta a intercettare le varianti già catalogate, mentre un controllo periodico di LaunchAgent e processi in background permette di individuare voci sospette come quella che imita com.apple.crashreporter. Infine, l’autenticazione a due fattori su wallet e password manager riduce il danno anche in caso di furto delle credenziali.
