Il processo di autenticazione di Apple è stato progettato per filtrare i software dannosi prima che raggiungano gli utenti, ma CrashStealer dimostra come hacker esperti possano sfruttare a proprio vantaggio questo stesso meccanismo di fiducia. Il malware ottiene lo stato di autenticazione, una credenziale che attesta la legittimità del software a macOS, nascondendo al contempo funzionalità di furto di informazioni all'interno di un'implementazione nativa in C++.
La truffa della notarizzazione
Gatekeeper e la notarizzazione costituiscono la prima linea di difesa di Apple contro i file binari non firmati e potenzialmente dannosi. Quando un utente scarica un'applicazione, macOS verifica se è stata esaminata e approvata dal servizio di notarizzazione di Apple. CrashStealer aggira questo sistema ottenendo una notarizzazione legittima per un dropper, un launcher apparentemente innocuo, che poi scarica ed esegue il vero e proprio malware.
Il punto chiave è che il dropper stesso supera tutti i controlli. Si tratta di un binario valido e autenticato, esaminato e approvato dai sistemi automatizzati di Apple. Una volta eseguito, il dropper scarica il componente dannoso vero e proprio, che potrebbe non essere mai autenticato singolarmente. Questo approccio a più livelli è più sofisticato rispetto ai vecchi dropper basati su AppleScript, che per Apple sono facili da individuare e bloccare.
C++ nativo e convalida delle credenziali locali
Anziché affidarsi a linguaggi di scripting o wrapper Objective-C che lasciano tracce forensi evidenti, CrashStealer è scritto in C++ nativo. Questa scelta ha molteplici vantaggi: compila in codice macchina efficiente, è più difficile da decodificare tramite reverse engineering e si integra più naturalmente con le librerie di sistema.
Il malware esegue una convalida locale della password prima di esfiltrare le credenziali, una tecnica che riduce il rischio di inviare dati non validi all'infrastruttura dell'attaccante. Testando le credenziali direttamente con il sistema di autenticazione di macOS, CrashStealer conferma che siano valide e utilizzabili, minimizzando il rumore nei set di dati rubati e aumentando il valore del materiale raccolto per gli acquirenti successivi.
Implicazioni per i team di infrastruttura server
Per i team che gestiscono infrastrutture di build basate su macOS, sistemi CI/CD o workstation di sviluppo, CrashStealer rappresenta una minaccia diretta. Se la macchina di uno sviluppatore viene compromessa, chiavi SSH, token API, credenziali cloud e password di database diventano accessibili. L'attenzione del malware alla convalida locale suggerisce che prenda di mira specificamente i sistemi con credenziali attive e utilizzate di recente, ovvero esattamente ciò che possiedono le macchine di sviluppo.
L'aggiramento della notarizzazione è particolarmente preoccupante perché mina un meccanismo di sicurezza che molti team considerano affidabile. Uno sviluppatore potrebbe notare che uno strumento scaricato è autenticato e abbassare la guardia, senza rendersi conto che la notarizzazione copre solo il dropper, non il payload.
I responsabili della sicurezza dovrebbero monitorare eventuali attività di rete insolite provenienti dalle macchine di sviluppo, implementare un'autenticazione a più fattori (MFA) aggiuntiva per gli account infrastrutturali sensibili e valutare la possibilità di limitare l'accesso ai sistemi di produzione da parte dei dispositivi macOS. La firma del codice e la autenticazione notarile da sole non dovrebbero essere considerate prove sufficienti di legittimità; l'analisi comportamentale e la segmentazione della rete sono fondamentali.
Percorsi di individuazione e mitigazione
Poiché il dropper di CrashStealer è autenticato, il tradizionale sistema di whitelisting basato sullo stato della firma non funziona. Concentrati invece sul comportamento successivo all'avvio: monitora la creazione di processi inaspettati, l'accesso insolito al file system e le connessioni in uscita verso IP sconosciuti. Gli strumenti di rilevamento degli endpoint di Apple e le soluzioni EDR di terze parti dovrebbero segnalare l'attività di convalida delle credenziali e i tentativi di esfiltrazione.
I team dovrebbero mantenere aggiornati macOS e tutti gli strumenti di sviluppo, poiché le versioni aggiornate sia del sistema operativo che delle librerie di terze parti possono ridurre la superficie di attacco del malware. Inoltre, è consigliabile ruotare regolarmente le credenziali su qualsiasi sistema di sviluppo macOS e presumere una violazione in caso di rilevamento di attività di rete sospette.
I ricercatori di sicurezza di Jamf Threat Labs hanno documentato la campagna CrashStealer e fornire maggiori dettagli tecnici sul suo comportamento e sui vettori di distribuzione.
La progettazione del malware riflette una maturazione delle minacce dirette a macOS: gli aggressori si stanno spostando dagli strumenti basati su script verso impianti compilati e multistadio che sfruttano meccanismi affidabili anziché evitarli. Per i team di infrastruttura, ciò significa che la sicurezza di macOS non può più basarsi esclusivamente sui segnali di fiducia a livello di sistema operativo; un'ispezione approfondita e la ricerca delle minacce rimangono essenziali.
