- Investigadores de Jamf descubren "CrashStealer", un programa de robo de información para macOS certificado por notario que se disfraza como CrashReporter de Apple
- Distribuido a través de un sitio falso llamado "Werkbit Setup", elude Gatekeeper e instala un LaunchAgent
- Luego utiliza una solicitud de contraseña falsa para desbloquear el Llavero, sustrayendo credenciales, cookies, archivos y datos de 80 carteras de criptomonedas y 14 administradores de contraseñas
Los expertos han advertido que se ha detectado en la red un nuevo programa de robo de información para macOS que se hace pasar por una herramienta de Apple para reportar fallos.
Denominado CrashStealer, este programa de robo de información escrito en C++ fue diseñado para robar credenciales de inicio de sesión, información del llavero, así como datos relacionados con más de 80 carteras de criptomonedas.
Los investigadores de ciberseguridad de Jamf publicaron un informe detallado sobre el malware, en el que señalan que es muy probable que CrashStealer se distribuya a través de un sitio web de software falso que se registró recientemente.
Desbloqueando el Llavero
Las víctimas que llegan al sitio (ya sea a través de una recomendación en redes sociales o de los resultados de un motor de búsqueda) deben conocer el código PIN antes de iniciar la descarga. Es muy probable que esto se haya hecho para evitar el escrutinio de los analistas, así como para aumentar la credibilidad percibida y dar una sensación de exclusividad.
Por lo general, las aplicaciones descargadas de fuentes de terceros son escaneadas por Gatekeeper, el sistema de seguridad integrado de Apple. Sin embargo, Jamf indica que esta carga útil se entrega a través de un instalador firmado y certificado por Apple, y se distribuye como una imagen de disco llamada «Werkbit Setup», lo que le permitió eludir Gatekeeper sin generar ninguna advertencia.
Quienes descarguen y ejecuten el programa obtendrán un binario llamado «CrashReporter.app», que creará un LaunchAgent («com.apple.crashreporter.helper») y mostrará un mensaje falso solicitando la contraseña de macOS.
Esa solicitud desbloquea el Llavero del usuario, donde se almacenan la mayoría de sus datos confidenciales (contraseñas, claves criptográficas privadas y más), y luego extrae toda la información hacia un servidor de terceros.
Además de los datos del Llavero, el malware CrashReporter también extrae credenciales y cookies de la mayoría de los navegadores, datos de 80 extensiones de carteras de criptomonedas, 14 administradores de contraseñas, archivos almacenados localmente y más.
Jamf señaló que CrashReporter se superpone, en cierta medida, con otros ladrones de información conocidos (como AMOS, por ejemplo), pero sigue siendo lo suficientemente único debido a su mecanismo de cifrado del lado del cliente, así como a su implementación nativa en C++.
Sigue a TechRadar en Google Noticias y añádenos como fuente preferida para recibir nuestras noticias, reseñas y opiniones de expertos en tus feeds.
