Novi macOS malver CrashStealer predstavlja se kao Apple alat za prijavu grešaka i krade lozinke

Opisi virusa, 14.07.2026, 09:00 AM

Bezbednosni istraživači upozoravaju na novi macOS malver pod nazivom CrashStealer, koji se predstavlja kao Apple-ov alat za prijavu grešaka kako bi od korisnika prikupio administratorske lozinke, podatke iz Keychain-a i informacije iz kripto novčanika.

Istraživači su prvi put primetili malver još u maju, kada je delovalo da se nalazi u fazi razvoja, dok su prve aktivne napade zabeležili početkom jula.

CrashStealer se predstavlja kao legitimna sistemska komponenta pod nazivom CrashReporter.app, koristeći pritom originalnu Apple ikonicu i metapodatke kako bi što vernije imitirao pravi sistemski alat. Malver takođe kreira i LaunchAgent pod nazivom com.apple.crashreporter.helper, dodatno otežavajući otkrivanje.

Prema navodima kompanije Jamf, koja se bavi bezbednošću Apple uređaja, malver se distribuira putem potpisanog instalacionog paketa „Werkbit Setup“, koji je prošao Apple-ovu proveru i notarizaciju. Zahvaljujući tome, uspeva da zaobiđe Gatekeeper, Apple-ov ugrađeni mehanizam zaštite od malvera, bez prikazivanja bilo kakvih upozorenja korisniku.

Nakon pokretanja, CrashStealer prikazuje lažni macOS prozor za unos administratorske lozinke, ostavljajući utisak da korisnik odobrava legitimnu sistemsku operaciju.

Ukoliko korisnik unese lozinku, malver dobija pristup Keychain-u, Apple-ovom šifrovanom skladištu lozinki i drugih osetljivih podataka, u kojem se obično nalaze Safari kredencijali, lozinke za Wi-Fi, podaci aplikacija, sertifikati, privatni ključevi i autentifikacioni tokeni.

Pored toga, CrashStealer prikuplja i lozinke i kolačiće iz Chromium pregledača i Firefoxa, kao i podatke iz više od 80 ekstenzija za kripto novčanike, uključujući MetaMask, Phantom, Coinbase Wallet, Trust Wallet i Exodus.

Na meti su se našli i brojni menadžeri lozinki poput 1Password, Bitwarden, LastPass, Dashlane i NordPass.

Malver takođe pretražuje korisničke direktorijume poput Documents i Downloads, pri čemu namerno preskače velike multimedijalne fajlove, instalacione pakete i sistemske direktorijume kako bi smanjio mogućnost otkrivanja.

Pre slanja ukradenih podataka napadačima, CrashStealer ih šifruje pomoću AES-256-GCM algoritma, pakuje u skrivene ZIP arhive i zatim ih šalje komandno-kontrolnim serverima.

Istraživači navode da je kampanja pažljivo osmišljena sa fokusom na prikrivanje aktivnosti. Prva faza napada (Werkbit Setup) distribuira se preko lažnog sajta registrovanog krajem juna, a preuzimanje malvera moguće je samo uz poseban PIN kod, što ukazuje na ciljane napade na unapred odabrane žrtve.