Los usuarios de macOS están en el punto de mira de una nueva amenaza. Un infostealer bautizado como CrashStealer ha sido descubierto por los investigadores de Jamf Threat Labs. Lo más preocupante es que logra saltarse las defensas de Apple haciéndose pasar por el propio componente de notificación de fallos del sistema.

Suplantando al sistema

CrashStealer está escrito en C++ y fue detectado a principios de julio. Su cadena de ataque es sofisticada. Todo comienza cuando el usuario es dirigido a un disco de imagen llamado «Werkbit Setup». Esta imagen no es un simple señuelo: está firmada con un ID de desarrollador de Apple válido y cuenta con un ticket de notarización.

Esto es clave porque permite que el archivo pase sin problemas por Gatekeeper, el sistema de seguridad de macOS diseñado para evitar la ejecución de software malicioso. Al abrir la imagen, el usuario se encuentra con una aplicación que parece un instalador legítimo. Si el usuario ejecuta la instalación, la aplicación se conecta a una API de GitHub, descifra un script ofuscado y este se convierte en un descargador que finalmente obtiene la carga útil de CrashStealer.

Robo de credenciales y mucho más

Una vez dentro del sistema, CrashStealer despliega una ventana nativa de solicitud de contraseña que imita a la perfección una autorización legítima de macOS. El objetivo es que la víctima introduzca su contraseña de inicio de sesión sin sospechar. Con esa contraseña confirmada, el malware pasa a su verdadero objetivo: robar nombres de usuario, contraseñas y credenciales almacenadas en el navegador, así como acceder a carteras de criptomonedas, gestores de contraseñas y otros datos del llavero de macOS.

Thijs Xhaflaire, investigador senior de amenazas en Jamf Threat Labs, destacó la meticulosidad de la operación:

«La cadena de entrega de CrashStealer muestra un cuidado real: en lugar de un simple señuelo sin firmar, los operadores utilizan un descargador firmado y notarizado que supera Gatekeeper antes de obtener, volver a firmar y lanzar la carga útil de forma discreta.»

Un malware diferente

Lo que diferencia a CrashStealer de otros ladrones de información comunes no es solo lo que roba, sino cómo lo hace. Los investigadores señalaron que emplea cifrado AES-GCM en el lado del cliente para los archivos robados, y hace un uso intensivo de técnicas de resistencia al análisis, como el aplanamiento del flujo de control, cadenas cifradas y capas de anti-depuración.

Aunque CrashStealer comparte algunas similitudes con otras familias de malware para macOS como Atomic (AMOS) y MacSync, su implementación nativa en C++ y su cifrado en cliente lo convierten en una variante distinta.

Tras confirmar que se había utilizado un ID de equipo de desarrollador para distribuir cargas maliciosas, Jamf Threat Labs reportó el caso a Apple.

Un ecosistema de amenazas en aumento

La aparición de CrashStealer no es un hecho aislado. Recientemente, Group-IB documentó ClickLock, un stealer modular cuyo ataque comenzaba cuando la víctima pegaba un comando en Terminal desde una página web. ClickLock utilizaba un bucle de muerte que terminaba procesos esenciales como Finder, Dock y los navegadores, y suprimía las advertencias de Gatekeeper durante unas seis horas. Toda la exfiltración de datos se realizaba a través de tres bots de Telegram, sin un servidor de mando y control dedicado. La investigación de Group-IB indicó que se debe tratar como un ataque cualquier sitio web que pida pegar un comando en Terminal, y que si el escritorio empieza a cerrar aplicaciones, lo más seguro es forzar el apagado e iniciar en Modo Seguro en lugar de introducir la contraseña.

Estos hallazgos, junto con el descubrimiento de CrashStealer, dibujan un panorama preocupante para la seguridad de macOS. Los investigadores de Jamf Threat Labs reportaron el ID de equipo de desarrollador utilizado a Apple tras confirmar su uso para distribuir cargas maliciosas.