Jamf Threat Labs informó del descubrimiento de un nuevo ladrón de información de Mac llamado CrashStealer, que se hace pasar por el software de informe de fallos de Apple. El malware fue rastreado por primera vez en mayo de 2026 durante su fase de desarrollo, y los ataques activos se detectaron a principios de julio de 2026.
CrashStealer está diseñado para recopilar información confidencial, como credenciales del navegador, datos del administrador de contraseñas y detalles de la billetera de criptomonedas, incluidos los datos del llavero de inicio de sesión de Mac. Únicamente, está codificado en C++ nativo, a diferencia de muchos otros ladrones de Mac que utilizan AppleScript.
El malware cifra los archivos que recopila antes de transmitirlos a un servidor controlado por el atacante. Para evadir la detección, incorpora funciones antidepuración, lo que complica los esfuerzos de investigación. El ataque se inicia a través de una imagen de disco denominada «Werkbit Setup».
Esta imagen de disco contiene un instalador pulido que indica a los usuarios que hagan clic derecho y seleccionen «Abrir» para omitir una advertencia de seguridad de Mac. El instalador posee una identificación de desarrollador de Apple válida y una certificación notarial, lo que le permite pasar las medidas de seguridad Gatekeeper de Apple en el primer lanzamiento.
El sitio web que distribuía Werkbit Setup requería que los usuarios ingresaran un PIN de reunión, potencialmente para controlar el acceso a personas específicas. Tras la ejecución, Werkbit Setup se conecta a GitHub, descarga un script e instala una segunda imagen de disco llamada CrashReporter.dmg en una carpeta temporal oculta. El malware utiliza el nombre CrashReporter con el identificador de paquete com.apple.crashreporter, que imita los componentes del sistema de Apple.
Apple emplea procesos de certificación notarial y Gatekeeper para mitigar los riesgos que plantean las aplicaciones descargadas. Sin embargo, Jamf advirtió que las aplicaciones dañinas pueden eludir la detección, especialmente si utilizan instaladores confiables para entregar diferentes cargas útiles posteriormente. Tras la identificación de actividad maliciosa, Jamf informó a Apple sobre el equipo de desarrolladores detrás de Werkbit Setup, pero los detalles sobre la cantidad de infecciones siguen sin revelarse.
Después del lanzamiento, CrashStealer solicita a los usuarios una contraseña de una manera que imita las solicitudes legítimas de macOS. El malware verifica localmente la contraseña ingresada y, si es correcta, puede desbloquear el llavero de inicio de sesión, lo que permite una mayor adquisición de datos.
CrashStealer busca en el almacenamiento de Mac datos de navegadores basados en Chromium, Safari, Firefox y varias extensiones de billeteras de criptomonedas, incluidas MetaMask y Phantom. Dirigido a más de 80 extensiones de billetera y 14 administradores de contraseñas, también utiliza una herramienta de búsqueda de archivos para buscar documentos confidenciales y evitar instaladores y archivos multimedia más grandes.
Los datos recopilados se almacenan en carpetas ocultas y se cifran utilizando AES-256-GCM antes de empaquetarlos en archivos ZIP ocultos para cargarlos. Además, CrashStealer se instala en la carpeta de caché de la biblioteca y crea un LaunchAgent para la persistencia durante el inicio de sesión del usuario.
Se recomienda a los usuarios que tengan cuidado al descargar instaladores y que analicen cualquier solicitud de contraseña que surja inesperadamente. Las recomendaciones para prevenir este malware incluyen utilizar la Mac App Store, confirmar minuciosamente las fuentes de los desarrolladores y tener cuidado con los instaladores que requieren acciones explícitas del usuario.
