Мак-вредонос CrashStealer маскируется под окно ошибки Apple

Компания Jamf Threat Labs обнаружила новый вид вредоносного ПО для Mac под названием CrashStealer, который маскируется под стандартное диалоговое окно macOS с предложением отправить Apple диагностический отчёт после сбоя приложения. Разница в том, что поддельное окно требует ввести пароль от учётной записи Mac — и как только пользователь его вводит, злоумышленники получают доступ к огромному массиву личных данных, включая менеджеры паролей и криптовалютные кошельки.

Как распространяется CrashStealer

По данным Jamf, первые образцы CrashStealer появились на VirusTotal ещё в мае 2026 года, а к началу июля исследователи зафиксировали срабатывания в реальных атаках — это говорит о том, что вредонос перешёл из стадии разработки в активное использование. Заражение начинается с образа диска (DMG-файла) под названием «Werkbit Setup», который монтируется в системе как /Volumes/Werkbit Setup и содержит одно приложение — Werkbit.app. Исполняемый файл внутри называется velto и имеет идентификатор пакета dev.golove.velto.

Почему этот вредонос для Mac особенно опасен

Особенность CrashStealer в том, что сам образ диска изначально был подписан подлинным Apple Developer ID и прошёл нотаризацию, поэтому спокойно проходил проверку Gatekeeper — встроенной защиты macOS от вредоносного софта. Дроппер подписан разработчиком с идентификатором Emil Grigorov (WWB7JA7AQV), собран как универсальный бинарник (arm64 и x86_64) и имеет включённый hardened runtime. Необычно и то, что подписан не только сам файл приложения, но и весь диск-образ целиком — обычно у вредоносных DMG-файлов контейнер остаётся неподписанным, что упрощает его обнаружение.

Что делать пользователям Mac

Apple уже отозвала скомпрометированные сертификаты разработчика, поэтому Gatekeeper теперь должен блокировать этот конкретный образец CrashStealer. Тем не менее эксперты советуют сохранять бдительность:

• Не запускать образы дисков с названием «Werkbit Setup» или похожие
• Внимательно проверять любые системные окна с отчётом о сбое приложения
• Насторожиться, если запрос пароля выглядит как обращение от «Системных настроек»
• Скачивать приложения только из Mac App Store или с сайтов проверенных разработчиков

Как отмечают в Jamf, лучшая защита от подобного вредоносного ПО для Mac — это осторожность на этапе загрузки приложений: даже подписанный и нотарizированный файл не гарантирует полной безопасности.