CrashStealer: Neue macOS-Malware stiehlt Passwörter und Krypto

Der Infostealer namens CrashStealer wurde erstmals im Mai beobachtet – seit Anfang Juli nehmen die Aktivitäten zu.

Die Malware zielt auf Passwörter, Browserdaten und digitale Geldbörsen ab. Getarnt als legitimer Installer umgeht sie Apples Sicherheitsvorkehrungen.

Tarnung als Apple-Systemwerkzeug

Die Verbreitung läuft über eine Anwendung namens „Werkbit Setup“. Entscheidend: Die Software trug eine offizielle Apple-Entwickler-ID und war notarisiert. So umging sie Gatekeeper, die Sicherheitsfunktion gegen nicht verifizierte Software.

Nach der Installation tarnt sich CrashStealer als Apples CrashReporter.app. Eine täuschend echte Passwort-Aufforderung erscheint – im Hintergrund prüft ein Systembefehl die Korrektheit der Eingabe. Dann beginnt der Diebstahl.

Browser, Passwortmanager, Krypto-Wallets

Die in C++ geschriebene Malware hat es auf zahlreiche Datenquellen abgesehen:

Die neue CrashStealer-Malware tarnt sich als Apple-Systemwerkzeug und stiehlt Passwörter, Browserdaten und Krypto-Wallets. Erfahren Sie in unserem kostenlosen Leitfaden, wie Sie die Schadsoftware erkennen und Ihre Daten schützen. Jetzt kostenlosen Leitfaden anfordern

• Browserdaten aus Firefox und Chromium-Browsern wie Chrome, Edge, Brave, Opera und Vivaldi
• Passwortmanager: 14 verschiedene Lösungen sind betroffen – darunter 1Password, Bitwarden, LastPass, Dashlane und NordPass
• Krypto-Wallets: Rund 80 Browser-Erweiterungen wie MetaMask, Coinbase, Phantom und Trust Wallet
• System-Schlüsselbund: Auch der macOS-eigene Keychain steht im Visier

Die Forscher beobachteten, dass CrashStealer zusätzliche Komponenten von GitHub nachlädt. Vor dem Abtransport verschlüsselt die Malware die gestohlenen Daten mit AES-256-GCM.

Abwehrmechanismen und Gegenmaßnahmen

CrashStealer nutzt Techniken wie Control-Flow Flattening und Debugger-Erkennung, um Sicherheitsexperten die Analyse zu erschweren. Ein LaunchAgent sorgt dafür, dass die Schadsoftware auch nach Neustarts aktiv bleibt.

Ihr Mac ist nicht immun: CrashStealer umgeht Gatekeeper und notarisiert. Betroffen sind Passwortmanager wie 1Password und Bitwarden sowie 80 Krypto-Wallet-Erweiterungen. Unser Leitfaden zeigt, wie Sie sich schützen. Sicherheits-Leitfaden jetzt sichern

Apple hat die betroffenen Entwickler-Zertifikate widerrufen. Sicherheitsexperten empfehlen: Ein infizierter Mac muss vollständig neu aufgesetzt werden. Sämtliche Passwörter und Zugangsdaten zu Online-Konten und Krypto-Wallets sollten sofort geändert werden.

Es gibt Hinweise, dass die Hintermänner an einer plattformübergreifenden Kampagne arbeiten.