CrashStealer: novo infostealer para macOS mira carteiras cripto e gerenciadores de senha disfarçado de app legítimo
A Kaspersky documentou o CrashStealer, um infostealer para macOS que se disfarça do utilitário nativo CrashReporter e é distribuído por meio de um site falso de uma ferramenta de videoconferência fictícia chamada 'Werkbit'. O malware usa um certificado de desenvolvedor Apple válido para contornar o Gatekeeper e rouba credenciais do Keychain, de 14 gerenciadores de senha e de 80 extensões de carteiras de criptomoeda.
O vetor de entrada é bem pensado: os atacantes criaram um site falso imitando a plataforma de uma suposta ferramenta de videoconferência chamada Werkbit, e o download só é liberado depois que a vítima informa um código PIN de 'reunião'. Esse portão de PIN não é um detalhe técnico qualquer — ele limita a campanha a alvos pré-selecionados, sugerindo phishing direcionado (provavelmente por convite de reunião falso) em vez de distribuição em massa, o que aumenta a taxa de sucesso e dificulta a detecção por soluções de segurança que dependem de volume.
O instalador inicial ('Werkbit Setup') carrega um certificado de desenvolvedor Apple legítimo e passou pelo processo de notarização da empresa, o que permite que ele rode sem os alertas de segurança que o Gatekeeper normalmente exibiria para software não confiável. Esse carregador então se conecta ao GitHub para buscar instruções e só depois baixa a carga maliciosa real de um servidor controlado pelos atacantes — uma cadeia em múltiplos estágios que dificulta a análise automatizada e a atribuição.
Uma vez instalado, o CrashStealer tem escopo de coleta extremamente amplo: Keychain do macOS, 14 gerenciadores de senha de terceiros (1Password, Bitwarden, LastPass, Dashlane, KeePassXC, entre outros), credenciais e cookies de sete navegadores baseados em Chromium mais o Firefox, e 80 extensões diferentes de carteiras de criptomoeda, incluindo MetaMask, Phantom, Coinbase Wallet e Trust Wallet. Os dados são compactados e criptografados com AES-256-GCM antes da exfiltração, dificultando a detecção por inspeção de tráfego. O malware ainda exibe um diálogo de senha praticamente idêntico ao nativo do macOS, validando a senha digitada em tempo real para roubar a credencial mestra do próprio sistema.
O alcance direto sobre carteiras de criptomoeda e gerenciadores de senha torna este malware financeiro por definição: o objetivo final é drenar ativos digitais e sequestrar contas protegidas por essas credenciais. Na prática, a prevenção passa por nunca instalar software fora da App Store ou de fontes oficiais verificadas — especialmente ferramentas de videoconferência recebidas por convite com códigos de acesso —, desconfiar de qualquer diálogo de senha que apareça fora do contexto esperado do sistema, e manter uma solução de segurança atualizada capaz de bloquear domínios maliciosos conhecidos, já que a assinatura de desenvolvedor legítima por si só não garante que um app seja confiável.