BERLIN / LONDON (IT BOLTWISE) – CrashStealer ist ein neuer macOS-Informationsdieb, der sensible Daten direkt von Browsern, Wallets und Keychain abgreift. Besonders kritisch ist die Lieferkette: Ein signierter und Apple-notarisierter Dropper soll Gatekeeper-Ausnahmen ausnutzen, bevor ein weiterer Payload-Kaskadenstart erfolgt. Zusätzlich validiert der Code Passwörter lokal, entsperrt die Login-Keychain und verschleiert die Verarbeitung mit clientseitiger AES-GCM-Verschlüsselung. Für IT-Teams bedeutet das mehr als „nur“ einen weiteren Stealer: Es ist ein Praxisbeispiel für moderne, Gatekeeper-taugliche Angriffsarchitektur.
Unter macOS taucht mit „CrashStealer“ ein neuer Information Stealer auf, der nicht nur Daten sammelt, sondern die komplette Kette von der Installation bis zur Exfiltration gezielt so gestaltet, dass sie typische Abwehrschichten überlebt. Laut Jamf Threat Labs ist die Schadsoftware in nativen C++-Komponenten umgesetzt und verzichtet damit bewusst auf einfache AppleScript-Dropper oder Objective-C-Wrapper, die in vielen Kampagnen häufiger anzutreffen sind. Das erhöht für Defender zwar nicht automatisch die Komplexität der Analyse, aber es senkt die Wahrscheinlichkeit, dass bekannte Muster schnell greifen. Entscheidend ist außerdem, dass Passwörter nicht an externe Dienste ausgelagert werden, sondern lokal validiert werden.
Technisch sichtbar wird das in der Delivery Chain: Den Forschern zufolge wird ein signierter, Apple-notarisierter Dropper ausgeliefert, der als Disk Image mit dem Namen „Werkbit.app“ erscheint. Weil sowohl Disk Image als auch Binärdatei eine gültige Developer-ID tragen und notarisiert sind, passiert der Code die Gatekeeper-Checks. Das ist mehr als Kosmetik für die Angreifer—es verschiebt die Hürde weg von „User muss verdächtig handeln“ hin zu „Security muss die Ausführung trotzdem verhindern“. Zusätzlich ist der Download über eine Meeting-PIN abgesichert, sodass nur Besucher mit dem richtigen Code die Installer-Sequenz erhalten und damit Sichtbarkeit in Breitenkampagnen sinkt.
Nach dem Mounten zeigt das Disk Image einen Installationshinweis, der die Ausführung praktisch anleitet: Nutzer sollen die App per Rechtsklick starten und „Open“ wählen. Diese UX-Umgebung ist typisch für social-engineering-lastige Loader, aber der eigentliche Kniff folgt danach. Beim Start kontaktiert das „veltod“-Programm ein GitHub-Repository, um eine Datei namens „sys.cache“ zu beziehen. Aus dieser Datei werden wiederum ein curl-Befehl und anschließend ein Shell-Script extrahiert, das den nächsten Payload-Schritt nachlädt und zur Zwischenablage nach „/tmp“ schreibt. Solche Etappen erschweren statische Analysen, weil zentrale Artefakte erst zur Laufzeit zusammengesetzt werden.
Für die Untersuchung und Abwehr besonders relevant ist das Verhalten beim ersten Zugriff auf das Zielsystem. CrashStealer soll sich als LaunchAgent persistieren, was über Launchd-Mechanismen zuverlässig für Folgeläufe sorgt. Danach wird ein Passwortprompt angezeigt; eingegebene Credentials werden lokal validiert. Anschließend entsperrt die Malware die Login-Keychain mit dem validierten Passwort, wodurch sie technisch an die gleiche „Berechtigungsbasis“ gelangt, die sonst nur der legitime Benutzer hat. Gleichzeitig wird eine Liste installierter Sicherheits- und Analyse-Tools ausgegeben—ein Hinweis darauf, dass die Schadsoftware schon früh erkennt, ob sie in einer Laborumgebung oder unter aktiver Beobachtung läuft, um dann ihre nächsten Schritte anzupassen oder intensives Debugging zu vermeiden.
Die Auswahl der Zielflächen zeigt, warum das in der Praxis so schnell Wirkung entfaltet: CrashStealer sammelt Daten aus einer breiten Palette von Browsern der Chromium-Familie (unter anderem Google Chrome, Brave, Microsoft Edge, Opera/Opera GX, Vivaldi, Chromium und Naver Whale) sowie aus weiteren Wallet-Umgebungen. Laut Jamf umfasst die Ernte grob „~80“ Krypto-Wallet-Extensions inklusive bekannter Namen wie MetaMask, Phantom, Coinbase, Trust Wallet, Rabby, OKX Wallet, Exodus, Keplr, Solflare und Backpack. Dazu kommen Daten aus etwa 14 Passwortmanagern, darunter 1Password, Bitwarden, LastPass, Dashlane, Keeper, KeePassXC, NordPass, Enpass und RoboForm. Zusätzlich werden Dateien aus „~/Documents“ und „~/Downloads“ abgegriffen—damit erweitert die Kampagne ihren Trefferbereich von „Credentials-only“ auf dokumentbasierte Daten.
Bei der Absicherung der übertragenen Inhalte setzen die Angreifer offenbar auf clientseitige Kryptografie: Die gesammelten Daten werden dem Bericht zufolge vor dem Versand mit AES-GCM verschlüsselt und erst danach exfiltriert, wobei libcurl zum Transfer genutzt wird. Das erschwert Netzwerk-Detektion auf reiner Klartextsignaturbasis und zwingt Defender eher zu Telemetrie- und Verhaltenserkennung. Außerdem nennt Jamf konkrete Techniken zur Analyseabwehr, darunter Control-Flow Flattening, verschlüsselte Strings sowie mehrschichtige Anti-Debugging-Ansätze. In der Marktlandschaft ist das ein Muster, das man von gängigen Stealern wie „Redline“- oder „Vidar“-Varianten kennt, jedoch wird hier die macOS-spezifische Hürde über Notarisierung und Signaturen zusätzlich „glattgezogen“.
Für die Markteinschätzung ist relevant, wie sich solche Kampagnen timing- und ressourcentechnisch skalieren lassen. Die Kombination aus GitHub als Infrastruktur für „sys.cache“ und nachgelagertem Payload-Fetching spricht für eine Modularity, die schnelle Updates ermöglicht, ohne jedes Mal die gesamte Dropper-Sequenz zu ändern. Gleichzeitig zeigt die Domain-Herkunft des Disk Images (registriert im Juni 2026) und das Auffinden weiterer Domains, dass der Betrieb auf eine mehrstufige Operation ausgelegt ist. Branchenanalysten bewerten solche Lieferketten häufig als besonders gefährlich, weil sie Gatekeeper und „nur“ Signaturprüfungen faktisch aushebeln; dadurch rückt die Frage in den Vordergrund, wie Unternehmen Ausführungsrichtlinien und Prozesskontext zusammen mit Endpoint-Logs schützen.
Der nächste logische Schritt für Security-Teams ist daher weniger „nur“ IOC-Blocking, sondern das Schließen von Ausführungspfaden. Da CrashStealer LaunchAgent-Persistenz nutzt, sind Kontrollen für unerwartete plist-Erstellungen und verdächtige Launchd-Registrierungen ein klarer Ansatzpunkt. Ebenso sollten Passwordprompt-Verhalten, Keychain-Entsperrungen außerhalb typischer UI-Flows sowie Downloader-Abläufe in Kombination mit /tmp-Zwischenspeicherung überwacht werden. Für die Regulierung ist der Datenschutzanteil nicht nur theoretisch: Das Abgreifen von Credentials und lokal gespeicherten Secrets berührt fast immer geschützte personenbezogene Daten und damit Anforderungen an Vertraulichkeit und Nachweisbarkeit interner Sicherheitsmaßnahmen. Wer CrashStealer-ähnliche Risiken adressiert, stärkt damit faktisch auch Audit-Fähigkeit.
In der Zukunft ist zu erwarten, dass sich diese Architektur in Richtung „Payload-agnostische Loader“ weiterentwickelt: Ein sauber notarisierter Einstieg bleibt gleich, während die nachgeladenen Module für neue Ziele oder Umgehungsmechanismen austauschbar werden. Für Entwickler und Plattformteams heißt das, dass Monitoring und Policy-Engineering enger zusammenrücken müssen: Nicht nur Paket-/Signaturdaten zählen, sondern auch Runtime-Intentionen wie „warum“ eine App Keychain entsperrt oder warum ein Prozess einen curl-ähnlichen Fetch ausführt. Gleichzeitig eröffnet das legitimen Anbietern die Chance, Sicherheitsfunktionen stärker zu instrumentieren—etwa durch strengere Telemetrie zu Keychain-Zugriffen und durch konsistente Nutzer- und Systemindikatoren für Entsperrvorgänge. Unterm Strich zeigt CrashStealer, dass macOS-Security in der Praxis nicht mit einer einzelnen Hürde gewonnen wird, sondern mit einer Kette aus Kontext, Kontrolle und Reaktion.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CrashStealer unter macOS: Notarisierter C++-Dropper umgeht Gatekeeper" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CrashStealer unter macOS: Notarisierter C++-Dropper umgeht Gatekeeper" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CrashStealer unter macOS: Notarisierter C++-Dropper umgeht Gatekeeper« bei Google Deutschland suchen, bei Bing oder Google News!