Jamf Threat Labs hat einen neuen Infostealer für macOS analysiert, der sich als Apples eigene Absturzberichts-Komponente ausgibt. Die Schadsoftware trägt den Namen CrashStealer, ist in nativem C++ geschrieben und sammelt Zugangsdaten aus Browsern, Passwortmanagern, Krypto-Wallets und dem Schlüsselbund. Ein erstes Sample tauchte Anfang Mai 2026 bei VirusTotal auf, damals noch in Entwicklung. Anfang Juli sah Jamf die ersten Erkennungen im echten Einsatz.

Bemerkenswert ist weniger, was der Stealer sammelt, sondern wie sauber er gebaut ist. Die meisten macOS-Stealer sind dünne AppleScript-Dropper oder einfache Objective-C-Wrapper. CrashStealer verschlüsselt die geklauten Daten bereits auf dem Gerät und bringt mehrere Schichten Analyse-Abwehr mit.

Der Einstieg kommt signiert und notarisiert

Die Infektion beginnt mit einem Disk-Image namens Werkbit Setup, das eine einzelne Anwendung enthält: Werkbit.app. Werkbit wird als Videokonferenz- beziehungsweise Kollaborationslösung ausgegeben. Laut Berichten in sozialen Netzwerken wurden Nutzer aufgefordert, Werkbit für angebliche Bewerbungsgespräche zu installieren, ein Muster, das aus den bekannten Fake-Job-Kampagnen vertraut ist.

Der Dropper ist mit einer gültigen Apple Developer ID signiert, ausgestellt auf Emil Grigorov (WWB7JA7AQV), und trägt ein angeheftetes Notarisierungs-Ticket. Damit passiert er Gatekeeper beim ersten Start ohne jede Warnung. Ungewöhnlich ist, dass auch das Disk-Image selbst signiert wurde und nicht nur die App darin. Bei bösartigen DMG-Dateien bleibt der Container sonst meist unsigniert.

Ausgeliefert wurde der Installer über die Domain werkbit[.]io, registriert Ende Juni 2026. Der Download war hinter einer Meeting-PIN versteckt, die Opfer mussten den Code also bereits kennen. Das spricht für eine gezielte Kampagne statt für Massenverteilung.

Nachladen über GitHub und ein Shell-Skript

Nach dem Start fragt Werkbit.app die GitHub-API ab und lädt aus dem Repository mgothiclove/pkeys eine Datei namens sys.cache. Darin steht der curl-Befehl für den nächsten Schritt: ein Shell-Skript von endpoint-api-v1[.]com. Das Skript liegt als Base64-Blöcke vor, die erst zur Laufzeit dekodiert und direkt an die Shell übergeben werden.

Das Skript lädt anschließend CrashReporter.dmg über unverschlüsseltes HTTP, hängt es ohne Prüfung ein, kopiert das gefundene App-Bundle in das versteckte Verzeichnis /tmp/.CrashReporter und löscht das Disk-Image wieder. Danach entfernt es die vorhandene Signatur und signiert die Nutzlast ad hoc neu. Eine Anwendung, die aus einem versteckten Verzeichnis unter /private/tmp startet, ist für sich genommen schon ein starker Alarmwert.

Die Nutzlast trägt den Bundle Identifier com.apple.crashreporter, den Anzeigenamen und das Symbol der echten Apple-Komponente. In frühen Samples stand die C2-Adresse 179.43.166.242 im Klartext in der Info.plist, eingetragen als Ausnahme für App Transport Security. Neuere Samples verzichten darauf, der Betreiber dürfte inzwischen auf ein sauber konfiguriertes TLS-Ziel umgestellt haben. Die Info.plist fordert außerdem vollen Festplattenzugriff an, begründet mit angeblicher Systemadministration.

Gefälschte Passwortabfrage öffnet den Schlüsselbund

CrashStealer zeigt eine Passwortabfrage, die wie ein macOS-Systemdialog aussieht. Die Eingabe prüft er lokal mit dscl, einem regulären Apple-Werkzeug zur Verzeichnisabfrage, und fragt so lange nach, bis das Passwort stimmt. Das bestätigte Passwort landet in ~/.cache/.sys_auth und wird sofort verwendet, um den Anmelde-Schlüsselbund über Apples eigenes security-Kommando zu entsperren.

Danach kopiert die Schadsoftware den Schlüsselbund in einen versteckten Sammelordner und greift breit ab:

• Chromium-basierte Browser wie Chrome, Brave, Edge, Opera und Vivaldi
  Zugangsdaten aus Firefox
• rund 80 Browser-Erweiterungen für Krypto-Wallets, darunter MetaMask, Phantom, Coinbase Wallet, Trust Wallet und Exodus
• 14 Passwortmanager, darunter 1Password, Bitwarden, LastPass und Dashlane
• Dateien aus ~/Documents und ~/Downloads, wobei ausführbare Dateien, Installer, Disk-Images sowie große Archive und Mediendateien übersprungen werden

Jede eingesammelte Datei wird einzeln mit AES-256-GCM über Apples CommonCrypto verschlüsselt. Der 32-Byte-Schlüssel stammt aus PBKDF2-HMAC-SHA256 mit 10.000 Iterationen. Das Salt ist fest im Sample hinterlegt und trägt die Bezeichnung panel_salt_v1, daneben findet sich ein vergessener Entwicklungshinweis, dass es sich um einen Fallback handelt. Die verschlüsselten Dateien packt der Stealer in versteckte ZIP-Archive mit dem Präfix .zx_ unter ~/.cache/com.apple.crashreporter/ und lädt sie per libcurl an den C2-Server hoch. Die Archive bleiben nach dem Upload liegen und sind damit ein brauchbares Artefakt für die Nachanalyse.

Einordnung

Jamf hat die verwendete Developer Team ID an Apple gemeldet, Apple hat die Signaturzertifikate der Werkbit-App widerrufen. Der konkrete Verbreitungsweg ist damit erst einmal blockiert. Das Grundproblem bleibt bestehen: Notarisierung ist eine automatisierte Prüfung, kein Sicherheitsversprechen. Wer ein Entwicklerkonto beschafft und die Schadfunktion erst nachlädt, kommt an Gatekeeper vorbei. Mit neuen Zertifikaten und leicht geänderten Namen kann dieselbe Kampagne jederzeit wieder anlaufen.

Für Unternehmen ist der interessante Teil nicht die Malware selbst, sondern die Nachwirkung. Wenn ein Schlüsselbund und ein Passwortmanager-Tresor abgeflossen sind, ist der betroffene Mac nur die erste Station. Alles, was in diesen Speichern lag, gilt als kompromittiert.