CrashStealer : comment les cybercriminels exploitent la confiance pour voler vos données
Sur un Mac, une application qui ressemble à un composant Apple inspire naturellement confiance. Un nom familier, une icône système et une fenêtre d’autorisation qui ressemble à celle de macOS peuvent suffire à convaincre un utilisateur de poursuivre une installation.
C’est précisément ce mécanisme de confiance que CrashStealer exploite. Découvert par Jamf Threat Labs, cet infostealer pour macOS se fait passer pour l’outil de signalement des plantages d’Apple afin de récupérer des informations sensibles. Le malware a d’abord été observé en développement en mai 2026 avant d’être détecté en utilisation active au début du mois de juillet.
Aujourd'hui, nous faisons le point sur une menace récente pour mieux vous aider à vous en protéger.
CrashStealer : quand l’apparence devient une arme
CrashStealer n’arrive pas nécessairement sous la forme évidente d’un fichier malveillant.
La chaîne d’infection observée par les chercheurs commence avec Werkbit, une fausse application présentée comme un outil de réunion ou de collaboration. L’application distribuée sous la forme de « Werkbit Setup » disposait d’une signature Developer ID valide et d’une notarisation Apple, ce qui lui permettait de passer les contrôles de Gatekeeper lors de son lancement.
Une fois exécutée, Werkbit sert de point d’entrée pour installer le véritable payload. Celui-ci prend alors l’apparence de CrashReporter, un composant associé au système de signalement des plantages de macOS.
Le choix du nom n’est pas anodin : Apple fournit déjà des outils de signalement des erreurs avec macOS. Un utilisateur qui voit apparaître une application portant un nom familier peut donc avoir moins de raisons de la considérer comme suspecte.
Que cherche CrashStealer ?
CrashStealer est un infostealer, c’est-à-dire un malware conçu pour collecter des informations sensibles sur un appareil et les transmettre à un attaquant.
Son périmètre de collecte est particulièrement large. Selon les analyses disponibles, il peut notamment rechercher :
des identifiants et données de navigation ;
des informations stockées dans le Keychain de macOS ;
des données provenant de gestionnaires de mots de passe ;
des informations liées aux portefeuilles de cryptomonnaies ;
des fichiers présents dans certains répertoires de l’utilisateur.
Les chercheurs ont notamment identifié un ciblage de plus de 80 extensions de portefeuilles de cryptomonnaies et de 14 gestionnaires de mots de passe.
L’objectif n’est donc pas simplement de compromettre un Mac. Les données recherchées peuvent permettre aux attaquants d’accéder à des comptes, des identifiants, des actifs numériques ou d’autres informations sensibles.
Le faux message qui peut tout changer
L’un des aspects les plus intéressants de CrashStealer est son utilisation de mécanismes familiers de macOS.
Après son installation, le malware affiche une demande de mot de passe qui imite une fenêtre d’autorisation système. L’utilisateur peut ainsi penser qu’il s’agit d’une demande légitime liée à l’installation ou à la configuration d’un composant du système.
Une fois le mot de passe obtenu, CrashStealer peut notamment tenter d’accéder au login Keychain, qui contient des informations d’authentification protégées.
C’est un point important : le malware ne repose pas uniquement sur une faille technique. Il exploite également la confiance de l’utilisateur dans les interfaces et les composants de macOS.
Une application notarized n’est pas synonyme de sécurité absolue
L’un des enseignements les plus importants de cette campagne concerne la notarisation Apple.
La notarisation et Gatekeeper constituent des mécanismes de sécurité importants pour macOS. Mais l’affaire CrashStealer montre qu’une application qui passe ces contrôles ne doit pas automatiquement être considérée comme sûre dans toutes les circonstances.
Dans le cas étudié, le premier maillon de la chaîne, Werkbit, disposait d’une signature valide et d’une notarisation Apple. Apple a ensuite révoqué les identifiants de signature associés à cette campagne après que les chercheurs ont signalé leurs découvertes.
Cela ne signifie pas que Gatekeeper est inutile. Cela montre plutôt qu'une signature valide ou une notarisation ne remplace pas l’analyse du comportement d’une application et de son contexte d’utilisation.
Pourquoi CrashStealer est intéressant pour les équipes de sécurité
Le cas CrashStealer rappelle que la sécurité d’un endpoint ne repose pas sur un seul mécanisme.
Une application peut sembler légitime, être correctement signée et passer certaines vérifications tout en étant utilisée dans une chaîne d’attaque plus large. Les équipes de sécurité doivent donc également surveiller les comportements inhabituels sur les postes macOS.
Quelques signaux peuvent notamment mériter une attention particulière :
une application qui prétend être un composant système mais qui est téléchargée séparément ;
une demande de mot de passe qui apparaît immédiatement après le lancement d’une application inconnue ;
une application qui demande des autorisations très larges sans raison claire ;
un logiciel de réunion ou de collaboration provenant d’un lien inattendu ;
des connexions réseau inhabituelles après l’installation d’une nouvelle application.
Le cas de CrashStealer montre également l’intérêt de combiner protection des endpoints, analyse comportementale, gestion des applications et sensibilisation des utilisateurs.
Que peuvent faire les utilisateurs de Mac ?
La première mesure consiste à ne pas se fier uniquement à l’apparence d’une application ou à son nom.
Un outil appelé « CrashReporter » qui vous est envoyé sous forme de téléchargement devrait immédiatement susciter des questions : pourquoi télécharger un composant qui fait déjà partie de macOS ?
Quelques réflexes peuvent réduire le risque :
télécharger les applications depuis des sources officielles et vérifiées ;
vérifier l’origine d’un logiciel avant de l’installer ;
se méfier des applications reçues via des liens inattendus ou des invitations à des réunions ;
considérer comme suspecte toute demande de mot de passe qui apparaît sans raison claire ;
limiter les autorisations accordées aux applications au strict nécessaire ;
maintenir macOS et les solutions de sécurité à jour.
Pour les organisations, ces bonnes pratiques peuvent être complétées par des politiques de gestion des applications, de contrôle des privilèges et de surveillance des endpoints.
CrashStealer : une menace qui dépasse le simple faux logiciel
CrashStealer est intéressant non seulement parce qu’il cible macOS, mais surtout parce qu’il combine plusieurs techniques de confiance et de tromperie.
Une application de collaboration apparemment légitime sert de première étape. Une signature et une notarisation donnent davantage de crédibilité au logiciel. Le payload se fait ensuite passer pour un composant Apple et utilise une interface familière pour obtenir les autorisations nécessaires.
Une fois installé, il cherche à récupérer des informations à forte valeur : mots de passe, données de navigateur, informations du Keychain, portefeuilles de cryptomonnaies et données issues de gestionnaires de mots de passe.
Cette combinaison rappelle une réalité importante de la cybersécurité : un mécanisme de confiance n’est efficace que s’il est complété par d’autres couches de protection.
Conclusion
CrashStealer montre comment une menace peut exploiter quelque chose d’aussi simple que la familiarité. En imitant un composant Apple et en s’appuyant sur une chaîne de distribution qui semblait légitime, le malware cherche à réduire les soupçons de l’utilisateur tout en ciblant certaines des informations les plus sensibles stockées sur un Mac.
Pour les utilisateurs comme pour les équipes IT et sécurité, la leçon est claire : une application qui semble légitime n’est pas nécessairement sûre, et une signature valide ne suffit pas à établir qu’un logiciel est digne de confiance.
Sur macOS comme sur les autres plateformes, la sécurité repose donc sur plusieurs niveaux : contrôle des applications, protection des endpoints, gestion des accès, surveillance des comportements et vigilance des utilisateurs.