O ecossistema macOS sempre se destacou pela reputação de robustez em segurança, sustentada pelo rigoroso controle de hardware e software exercido pela Apple.
No entanto, o surgimento do infostealer batizado como CrashStealer demonstra que cibercriminosos estão aperfeiçoando métodos para transpor barreiras nativas de proteção.
Identificado inicialmente em fase de desenvolvimento em maio de 2026 e detectado em operação ativa no início de julho por analistas da Jamf Threat Labs e da Kaspersky, o código malicioso opera com alto nível de sofisticação técnica para comprometer credenciais e ativos financeiros de usuários do sistema operacional da Apple.
A estratégia de infecção adotada pelos operadores da ameaça baseia-se na engenharia social aliada ao abuso de credenciais legítimas de desenvolvimento.
O CrashStealer utiliza como vetor primário de distribuição um portal malicioso que se passa pelo site oficial de uma ferramenta de videoconferência denominada Werkbit.
Certamente, a escolha de um aplicativo de produtividade visa atrair alvos corporativos e profissionais que buscam soluções de comunicação. Para restringir o acesso e evitar a análise automatizada por sistemas de inteligência contra ameaças, a página exige a inserção de um PIN de reunião específico antes de liberar o arquivo de instalação.
Disseminação e engenharia de invasão do CrashStealer
A entrega do código malicioso ocorre por meio de uma imagem de disco no formato DMG chamada Werkbit Setup. Ao ser montada no sistema, a imagem apresenta um executável que dispara a cadeia de infecção de segundo estágio.
O grande diferencial dessa campanha reside no fato de que não apenas o executável interno, mas toda a estrutura do container DMG foi assinada digitalmente utilizando um certificado válido de desenvolvedor da Apple associado ao identificador de equipe de Emil Grigorov.
No entanto, o diferencial decisivo para a eficácia do ataque foi a obtenção de um bilhete de notarização concedido pela própria Apple.
Esse mecanismo faz com que a verificação nativa do sistema, conhecida como Gatekeeper, classifique a aplicação como confiável no primeiro lançamento. Com isso, os alertas habituais de segurança exibidos aos usuários ao tentar executar programas baixados da internet são drasticamente reduzidos ou completamente contornados.
O Mecanismo de Burlar o Apple Gatekeeper
O Gatekeeper foi projetado para impedir a execução de softwares não verificados em computadores Mac. Porém, quando um cibercriminoso consegue obter um certificado de desenvolvedor válido e submeter o utilitário para o processo automatizado de verificação de código da Apple, o sistema gera a validação criptográfica necessária.
O relatório das empresas de segurança pontua que este procedimento requer investimento financeiro e esforço operacional por parte dos atacantes, o que evidencia uma campanha direcionada e estruturada financeiramente.
Após a execução do instalador inicial, o sistema faz uma requisição para a API do GitHub para recuperar e decodificar um script em camadas. Este script atua como um carregador secundário encarregado de baixar e implantar a carga útil definitiva do CrashStealer no diretório do sistema do usuário.
Arquitetura Técnica e Coleta de Dados Confidenciais
Ao contrário de grande parte das ameaças convencionais direcionadas ao macOS que frequentemente dependem de scripts em AppleScript ou invólucros simples em Objective-C, o CrashStealer foi desenvolvido inteiramente em linguagem C++ nativa.
Essa escolha arquitetônica garante uma execução mais rápida, menor pegada no consumo de memória e maior facilidade para ocultar rotinas internas contra engenharia reversa.
O código malicioso é estruturado em torno de uma classe interna denominada pelos próprios autores como MacOSData. Antes de iniciar qualquer varredura de arquivos no disco rígido, o programa exibe uma caixa de diálogo falsa solicitando a senha de administrador do Mac.
Certamente, essa verificação ocorre localmente antes da coleta massiva, garantindo que o malware possua os privilégios necessários para acessar áreas protegidas do sistema.
Vetores de Captura e Módulos de Exfiltração
Uma vez obtida a autorização de privilégios no sistema, o CrashStealer inicia uma busca exaustiva por arquivos confidenciais armazenados no dispositivo. Entre os dados prioritários mapeados pela rotina maliciosa, destacam-se:
- Credenciais de Acesso: Extração direta de chaves, certificados e senhas salvas no Keychain do macOS.
- Dados de Navegação: Bancos de dados de navegadores baseados em Chromium e Safari, incluindo histórico, cookies de sessão e senhas salvas.
- Carteiras de Criptomoedas: Módulos de varredura focados em extensões de navegadores e aplicativos desktop de carteiras de criptoativos.
- Gerenciadores de Senhas: Arquivos de dados de cofres digitais e extensões de gerenciamento de credenciais.
- Documentos Pessoais: Arquivos com extensões sensíveis armazenados na pasta de documentos e na área de trabalho do usuário.
Todos os dados coletados são compactados e criptografados localmente utilizando o algoritmo simétrico AES-GCM, impedindo que sistemas de inspeção de tráfego de rede detectem o conteúdo durante a transmissão.
A exfiltração das informações para os servidores de comando e controle é realizada por meio da biblioteca padrão libcurl. Para garantir a persistência na máquina infectada, o malware copia a si mesmo para o diretório de registros do sistema, disfarçando-se sob o nome do utilitário nativo CrashReporter, e assina novamente seu executável.
Contexto histórico e comparativo de ameaças no macOS
Historicamente, o sistema operacional macOS apresentava um volume significativamente menor de pragas virtuais em comparação com o ecossistema Windows.
No entanto, o crescimento da fatia de mercado dos computadores da Apple no ambiente corporativo transformou a plataforma em um alvo lucrativo para grupos cibercriminosos especializados em espionagem industrial e roubo de dados financeiros.
A descoberta do CrashStealer coincide temporalmente com o surgimento de outras campanhas avançadas identificadas no mesmo período, como a ameaça denominada ClickLock. Ambas as famílias utilizam abordagens distintas para induzir o usuário a fornecer credenciais do sistema, porém compartilham o objetivo comum de extrair dados críticos e chaves privadas.
Protocolos de Mitigação e Análise de Risco
Diante da constatação da ameaça, equipes de inteligência em cibersegurança reportaram o identificador do certificado de desenvolvedor à Apple, resultando no cancelamento da assinatura digital e na invalidação do certificado associado.
Consequentemente, novas tentativas de execução do instalador afetado passam a ser bloqueadas nativamente pelo Gatekeeper em versões atualizadas do macOS.
No entanto, analistas do setor ressaltam que o risco permanece ativo para variantes subsequentes que possam reutilizar novas chaves de autenticação.
A mitigação de incidentes dessa natureza exige o monitoramento rigoroso de chamadas de sistema, a implementação de soluções de detecção de ameaças em endpoints e a verificação criteriosa das fontes de download de aplicativos corporativos, mesmo quando a assinatura digital indicar procedência aparentemente válida.
