El malware CrashStealer se disfraza de herramienta Apple para robar contraseñas, datos de navegadores y criptomonedas en macOS, evadiendo la seguridad estándar.
CrashStealer es un malware que se hace pasar por el sistema de reporte de fallos de Apple para robar información sensible en Macs, incluyendo contraseñas, datos de navegadores y extensiones de criptomonedas. Detectado por Jamf Threat Labs, este software malicioso aprovecha la notarización de Apple para evadir las defensas de Gatekeeper y comprometer la seguridad del usuario.
Por qué importa: CrashStealer demuestra que incluso las aplicaciones notarizadas por Apple pueden ocultar malware sofisticado, poniendo en riesgo datos críticos como contraseñas y activos digitales.
Lo esencial
CrashStealer se disfraza de CrashReporter, una herramienta legítima de Apple.
Roba datos de más de 80 extensiones de billeteras de criptomonedas y 14 gestores de contraseñas.
Apple revocó la firma de la app falsa Werkbit que distribuía el malware, pero la amenaza persiste.
Imagen de referencia: MacRumors.
Imitación de herramienta oficial para evadir seguridad
El malware se presenta como una versión falsa de CrashReporter.app, el sistema de reporte de fallos de macOS, lo que hace que los usuarios lo perciban como una utilidad legítima. Utiliza un proceso de instalación típico para software descargado desde la web y solicita acceso completo al disco con un cuadro de diálogo nativo de macOS, engañando al usuario para que entregue permisos críticos.
Robo de datos sensibles y criptomonedas
CrashStealer busca activamente datos almacenados en navegadores, gestores de contraseñas como 1Password, LastPass y Dashlane, y extensiones de criptomonedas, con un alcance de más de 80 billeteras digitales. También explora las carpetas Documentos y Descargas para encontrar información valiosa. Los datos recopilados se cifran con AES-256-GCM y se envían al atacante.
Notarización y evasión de Gatekeeper
La app maliciosa Werkbit estaba firmada y notarizada por Apple, lo que le permitió pasar por alto Gatekeeper, el sistema de seguridad que bloquea software no autorizado. Aunque Apple revocó la firma de Werkbit tras su detección, el diseño del malware muestra un alto nivel de sofisticación para ocultarse y evitar ser detectado por los mecanismos de seguridad estándar.
Impacto y recomendaciones para usuarios y organizaciones
El malware parece estar dirigido a víctimas específicas, ya que la instalación original requería un PIN. Los usuarios deben desconfiar de cualquier app que solicite acceso completo al disco o que use un CrashReporter descargado, ya que esta función es nativa del sistema y no debería aparecer en descargas externas. Apple continúa mejorando sus controles, pero la amenaza de malware sofisticado persiste.
Preguntas frecuentes sobre CrashStealer
¿Cómo se distribuye CrashStealer?
Se distribuye a través de una app falsa llamada Werkbit, que estaba notarizada por Apple para evadir Gatekeeper.
¿Qué datos roba CrashStealer?
Roba contraseñas, datos de navegadores, información de gestores de contraseñas y extensiones de criptomonedas, además de datos almacenados en el llavero de macOS.
