CrashStealer : un programme malveillant certifié par notarisation pour macOS

Les utilisateurs de Mac ont toujours considéré leur système d’exploitation comme un gage de sécurité. Cette tranquillité d’esprit tient principalement au contrôle rigoureux exercé par Apple sur son écosystème, ainsi qu’au fait que macOS a, historiquement, été moins souvent la cible d’attaques de grande envergure que Windows. Cela ne signifie pas pour autant que les Mac sont invulnérables : des menaces existent bel et bien, et de nouvelles apparaissent sans cesse. Au cours des dernières semaines seulement, des chercheurs en sécurité ont publié des rapports faisant état d’au moins deux nouvelles campagnes ciblant les appareils Apple.

Le programme malveillant utilisé dans l’une de ces campagnes a été baptisé CrashStealer, tandis que l’autre est connu sous le nom de ClickLock. Tous deux recourent à différentes astuces pour contraindre les utilisateurs à saisir le mot de passe de leur Mac, que les pirates informatiques utilisent ensuite pour voler des identifiants de compte, des cryptomonnaies, des documents et bien plus encore. Dans l’article d’aujourd’hui, nous examinons en détail le fonctionnement de CrashStealer et les précautions à prendre pour ne pas en être victime.

Une application de visioconférence contenant CrashStealer

C’est en mai 2026 que des chercheurs ont détecté les premiers signes indiquant que ce programme malveillant était en cours de développement, et début juillet, ils l’ont repéré à l’œuvre. Ce programme malveillant doit son nom à son mécanisme principal : il camoufle son identité en se faisant passer pour l’outil de signalement des plantages intégré à macOS (CrashReporter) tout en agissant comme un programme de vol d’informations conçu pour dérober des données confidentielles.

Les chercheurs ont réussi à retracer l’un des sites Internet consultés par les utilisateurs pour télécharger le programme malveillant. Le site se présente comme une plateforme légitime de distribution de l’outil de visioconférence Werkbit.

Selon les chercheurs, il s’agit du site sur lequel les victimes ont téléchargé Werkbit, qui contenait secrètement le chargeur du programme malveillant CrashStealer. Source

Cependant, il ne suffit pas de se rendre sur le site pour télécharger le logiciel. Avant le téléchargement, les visiteurs sont invités à saisir un code PIN spécialement attribué à la réunion. Cette configuration permet sans doute aux pirates de limiter la portée de la diffusion en ne ciblant que des victimes spécifiques et présélectionnées. On ignore encore exactement comment les cybercriminels choisissent leurs cibles et leur transmettent le code PIN.

Les utilisateurs  » chanceux  » qui ont reçu un code finissent par installer la charge malveillante initiale, appelée Werkbit Setup. Il est intéressant de noter qu’elle est associée à un certificat de développeur Apple valide et qu’elle a passé avec succès le processus de notarisation d’Apple, ce qui signifie qu’elle a réussi le contrôle automatisé préalable visant à détecter les codes malveillants. Les pirates parviennent ainsi à contourner le système de protection Gatekeeper intégré au système d’exploitation. Ils peuvent ainsi exécuter leur charge utile sans déclencher les avertissements habituels concernant les logiciels non fiables.

Le programme d’installation Werkbit Setup est signé à l’aide d’un certificat de développeur Apple valide et certifié par notarisation. Source

Une fois lancé, Werkbit Setup se connecte d’abord à GitHub. Les chercheurs estiment que l’utilisation de cette plateforme très répandue aide les pirates à se fondre dans la masse, en rendant ces premières requêtes réseau bien moins suspectes aux yeux des outils de sécurité. Après avoir récupéré les instructions à partir d’un dépôt GitHub, le programme se connecte directement au serveur des pirates pour télécharger CrashStealer.

Le chargeur enregistre ensuite le programme malveillant dans un dossier temporaire de macOS, le lance, puis supprime la plupart des fichiers de configuration intermédiaires. De ce fait, un programme de vol d’informations pleinement opérationnel est opérationnel en quelques secondes à compter du lancement de Werkbit Setup. Soit dit en passant, l’utilisateur ne dispose jamais d’une application de visioconférence.

Comment fonctionne CrashStealer

Contrairement au chargeur Werkbit Setup, le programme malveillant CrashStealer n’est pas signé par un certificat de développeur Apple. Pour éviter que les utilisateurs ne se doutent de quoi que ce soit, le programme malveillant camoufle son identité en se faisant passer pour l’outil intégré de macOS de signalement des plantages, CrashReporter, en utilisant exactement le même nom, le même identifiant d’application et une icône similaire.

Une fois lancé, CrashStealer effectue une série d’étapes pour accéder à des données confidentielles, s’ancrer dans le système et effacer ses traces :

1. Supprimer les métadonnées, y compris l’attribut qui identifie l’application comme un téléchargement Internet.
2. Afficher une fausse invite du système demandant le mot de passe macOS de l’utilisateur.
3. Utiliser les identifiants précédemment enregistrés pour accéder à Keychain, le gestionnaire de mots de passe intégré à macOS.
4. Vérifier la présence d’outils de sécurité et d’analyse de programmes malveillants sur l’ordinateur.
5. Collecter les mots de passe enregistrés dans votre navigateur, les cookies, le contenu de votre trousseau de clés, ainsi que les données provenant d’autres gestionnaires de mots de passe et portefeuilles de cryptomonnaies.
6. Chiffrer les données volées et les préparer en vue de leur transfert vers le serveur des pirates informatiques.
7. Créer une copie de lui-même et configurer la persistance pour qu’il se lance automatiquement à chaque démarrage de macOS.
8. Supprimer les fichiers temporaires et autres fichiers de traçage afin de compliquer considérablement la détection.

La deuxième étape mérite d’être examinée de plus près. L’invite de mot de passe qui s’affiche est extrêmement convaincante. De plus, le programme malveillant vérifie immédiatement si les identifiants sont corrects : si vous faites une faute de frappe et que vous saisissez un mot de passe incorrect, CrashStealer affichera immédiatement à nouveau la fenêtre pour vous demander de le saisir à nouveau.

Une fois lancé, CrashStealer affiche une fenêtre contextuelle qui imite la demande de mot de passe standard de macOS. Source

Quelles sont les données ciblées par CrashStealer ?

CrashStealer cible un très grand nombre d’éléments. Sa priorité est le Trousseau d’accès, le gestionnaire de mots de passe intégré à macOS, qui stocke les identifiants, les clés cryptographiques, les certificats, les jetons et d’autres données sensibles.

Les utilisateurs de gestionnaires de mots de passe tiers ne sont pas non plus à l’abri : le programme malveillant vole des données auprès de 14 services, dont 1Password, Bitwarden, LastPass, Dashlane, Keeper, KeePassXC, NordPass, Enpass et RoboForm.

De plus, le programme malveillant collecte tous les identifiants et cookies stockés dans les navigateurs basés sur Chromium (Chrome, Brave, Edge, Opera, Opera GX, Vivaldi, Chromium et NAVER Whale), ainsi que dans Firefox. Les pirates informatiques s’intéressent manifestement de près aux cryptomonnaies : CrashStealer cible particulièrement les données provenant de 80 extensions de portefeuilles de cryptomonnaies différentes, notamment MetaMask, Phantom, Coinbase Wallet, Trust Wallet, Rabby, Exodus, Keplr et Solflare.

Enfin, le programme malveillant parcourt les dossiers Documents et Téléchargements à la recherche de fichiers susceptibles d’intéresser les cybercriminels. CrashStealer chiffre toutes les données volées à l’aide de l’algorithme AES-256-GCM, les compresse au format ZIP, puis les envoie au serveur des pirates.

Comment protéger votre appareil

La forte augmentation des attaques visant macOS est un véritable signal d’alarme : les utilisateurs d’Apple doivent adopter une attitude proactive en matière de sécurité. Nous vous recommandons :

• De vous renseigner sur les applications en ligne avant de les installer.
• De privilégier, dans la mesure du possible, les applications disponibles sur les boutiques d’applications officielles.
• D’utiliser une solution de sécurité fiable qui bloque les sites Internet malveillants et bloque les programmes malveillants sur vos appareils.
• De conserver tous vos identifiants et coordonnées bancaires dans un gestionnaire de mots de passe sécurisé. Une option est Kaspersky Password Manager, qui, il faut le noter, ne figure pas parmi les applications ciblées par CrashStealer.

Les solutions de sécurité de Kaspersky détectent le programme malveillant décrit dans cet article et lui attribuent les classifications HEUR:Trojan-Downloader.OSX.Agent.gen et HEUR:Trojan-PSW.OSX.Agent.gen.