Malware de macOS CrashStealer usa notarized dropper para pasar Gatekeeper, según investigadores

Un nuevo information stealer para macOS denominado CrashStealer está usando un notarized dropper para superar las comprobaciones de Gatekeeper de Apple, informa hoy The Hacker News. La táctica corre el riesgo de erosionar la confianza de los usuarios en las defensas de malware de Apple al hacer que el código malicioso parezca validado por desarrolladores en el momento de la instalación. Los investigadores señalan que la cepa apunta a datos sensibles en Macs comprometidos, lo que suscita nuevas preocupaciones tanto para consumidores como para empresas.

Jamf Threat Labs afirma que el payload nativo en C++ llega a través de un paquete notarizado, contrasta con los wrappers comunes en AppleScript u Objective C, y valida localmente la login password de la víctima antes de recolectar datos sensibles de los sistemas comprometidos. El dropper porta Apple notarization, lo que le permite pasar las comprobaciones de Gatekeeper sin bloqueo, señala The Hacker News. Esté atento a si Apple revoca cualquier certificado abusado, a los IOCs de Jamf y a las actualizaciones de detección de los proveedores a medida que avanza la investigación. [En desarrollo. Este artículo se actualizará.]