{"id":25233,"date":"2026-08-13T09:00:23","date_gmt":"2026-08-13T12:00:23","guid":{"rendered":"https:\/\/www.kaspersky.com.br\/blog\/?p=25233"},"modified":"2026-08-11T16:17:22","modified_gmt":"2026-08-11T19:17:22","slug":"crashstealer-werkbit-macos-infostealer","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.br\/blog\/crashstealer-werkbit-macos-infostealer\/25233\/","title":{"rendered":"CrashStealer: malware autenticado para macOS"},"content":{"rendered":"

Os usu\u00e1rios de Mac historicamente confiaram na seguran\u00e7a de seu sistema operacional. Essa tranquilidade vem principalmente do controle estrito da Apple sobre o ecossistema e do fato de que o macOS sempre enfrentou menos ataques em massa do que o Windows. No entanto, isso n\u00e3o significa que os computadores Mac n\u00e3o tenham vulnerabilidades: as amea\u00e7as existem, e novas surgem o tempo todo. Nas \u00faltimas semanas, pesquisadores de seguran\u00e7a publicaram relat\u00f3rios sobre pelo menos duas novas campanhas direcionadas a dispositivos Apple.<\/p>\n

O malware usado em uma das campanhas foi apelidado de CrashStealer<\/a>, enquanto o outro \u00e9 conhecido como ClickLock<\/a>. Ambos usam truques diferentes para for\u00e7ar usu\u00e1rios a inserir a senha do Mac, que os invasores usam para roubar credenciais de contas, ativos de criptomoedas, documentos e muito mais. No post de hoje, analisamos em detalhes como o CrashStealer funciona e como evitar ser v\u00edtima dele.<\/p>\n

Um aplicativo de videoconfer\u00eancia com o CrashStealer embutido<\/h2>\n

Em maio de 2026, pesquisadores identificaram os primeiros sinais de desenvolvimento desse malware e, no in\u00edcio de julho, detectaram sua atua\u00e7\u00e3o em ambiente real. O malware recebeu esse nome devido ao seu mecanismo principal: ele se disfar\u00e7a da ferramenta integrada de gera\u00e7\u00e3o de relat\u00f3rios de falhas do macOS (CrashReporter), enquanto funciona como um infostealer criado para sequestrar dados confidenciais.<\/p>\n

Os pesquisadores conseguiram rastrear um dos sites que os usu\u00e1rios visitaram para baixar o malware. O site se passa por uma plataforma leg\u00edtima de distribui\u00e7\u00e3o da ferramenta de videoconfer\u00eancia Werkbit.<\/p>\n

\"\"

Segundo os pesquisadores, esse foi o site usado pelas v\u00edtimas para baixar o Werkbit, que continha, sem que elas soubessem, o malware loader CrashStealer. Fonte <\/a><\/p><\/div>\n

No entanto, voc\u00ea n\u00e3o pode simplesmente visitar o site e baixar o software. Antes de iniciar o download, a pessoa precisa informar um PIN de reuni\u00e3o. Essa configura\u00e7\u00e3o provavelmente permite que os invasores limitem o alcance da campanha, direcionando-a apenas a v\u00edtimas espec\u00edficas previamente selecionadas. Ainda n\u00e3o se sabe exatamente como os cibercriminosos escolhem seus alvos nem como entregam o PIN.<\/p>\n

As pessoas \u201csortudas\u201d que recebem um c\u00f3digo acabam instalando a carga maliciosa inicial, chamada Werkbit Setup. Curiosamente, a carga maliciosa possui um certificado de desenvolvedor da Apple v\u00e1lido e foi aprovada no processo de autentica\u00e7\u00e3o de aplicativos da empresa, o que indica que passou pela verifica\u00e7\u00e3o automatizada destinada a detectar c\u00f3digo malicioso. Como resultado, os invasores conseguem contornar o Gatekeeper, mecanismo de prote\u00e7\u00e3o integrado do sistema operacional. Isso permite que a carga \u00fatil seja iniciada sem acionar os avisos usuais de software n\u00e3o confi\u00e1vel.<\/p>\n

\"\"

<\/p>\n

[caption] O instalador Werkbit Setup \u00e9 assinado com um certificado v\u00e1lido de desenvolvedor da Apple e passou pelo processo de autentica\u00e7\u00e3o de aplicativos da empresa. Fonte <\/a><\/p><\/div>\n

[\/caption]Depois de iniciado, o Werkbit Setup primeiro se conecta ao GitHub. Pesquisadores acreditam que o uso dessa plataforma ajuda os invasores a passar despercebidos, fazendo com que as solicita\u00e7\u00f5es iniciais de rede pare\u00e7am muito menos suspeitas para as ferramentas de seguran\u00e7a. Depois de obter instru\u00e7\u00f5es de um reposit\u00f3rio no GitHub, o programa se conecta diretamente ao servidor dos invasores para baixar o pr\u00f3prio CrashStealer.<\/p>\n

Em seguida, o carregador salva o malware em uma pasta tempor\u00e1ria do macOS, executa-o e apaga a maioria dos arquivos intermedi\u00e1rios da instala\u00e7\u00e3o. Como resultado, em poucos segundos ap\u00f3s a execu\u00e7\u00e3o do Werkbit Setup, um infostealer totalmente funcional est\u00e1 em opera\u00e7\u00e3o. Vale destacar que o usu\u00e1rio nunca recebe o aplicativo de videoconfer\u00eancia prometido.<\/p>\n

Como o CrashStealer funciona<\/h2>\n

Ao contr\u00e1rio do carregador Werkbit Setup, o malware CrashStealer em si n\u00e3o \u00e9 assinado com um certificado de desenvolvedor da Apple. Para evitar que os usu\u00e1rios desconfiem, o malware se disfar\u00e7a da ferramenta de relat\u00f3rio de falhas do macOS, o CrashReporter, usando exatamente o mesmo nome, identificador de aplicativo e um \u00edcone semelhante.<\/p>\n

Depois de executado, o CrashStealer realiza uma sequ\u00eancia de etapas para obter acesso a dados confidenciais, estabelecer persist\u00eancia no sistema e ocultar rastros:<\/p>\n

    \n
  1. Remove metadados, incluindo o atributo que identifica o aplicativo como um arquivo baixado da Internet.<\/li>\n
  2. Exibe uma solicita\u00e7\u00e3o falsa do sistema pedindo a senha do macOS do usu\u00e1rio.<\/li>\n
  3. Usa as credenciais capturadas anteriormente para acessar o Keychain, o gerenciador de senhas integrado do macOS.<\/li>\n
  4. Verifica se h\u00e1 ferramentas de seguran\u00e7a e softwares de an\u00e1lise de malware instalados no computador.<\/li>\n
  5. Coleta senhas salvas nos navegadores, cookies, dados do Keychain e informa\u00e7\u00f5es de outros gerenciadores de senhas e carteiras de criptomoedas.<\/li>\n
  6. Criptografa os dados roubados e os prepara para envio ao servidor dos invasores.<\/li>\n
  7. Cria uma c\u00f3pia de si mesmo e estabelece persist\u00eancia para ser executado automaticamente sempre que o macOS \u00e9 inicializado.<\/li>\n
  8. Exclui arquivos tempor\u00e1rios e outros vest\u00edgios da instala\u00e7\u00e3o para dificultar ainda mais a detec\u00e7\u00e3o.<\/li>\n<\/ol>\n

    A segunda etapa merece uma an\u00e1lise mais detalhada. A solicita\u00e7\u00e3o de senha exibida ao usu\u00e1rio \u00e9 extremamente convincente. Al\u00e9m disso, o malware verifica imediatamente se as credenciais est\u00e3o corretas: se a pessoa cometer um erro de digita\u00e7\u00e3o e inserir uma senha inv\u00e1lida, o CrashStealer exibir\u00e1 a janela novamente para que ela tente outra vez.<\/p>\n

    \"\"

    <\/p>\n

    [caption] Depois de ser executado, o CrashStealer exibe uma janela pop-up que simula a solicita\u00e7\u00e3o padr\u00e3o de senha do macOS. Fonte <\/a><\/p><\/div>\n

    [\/caption]<\/p>\n

    Quais dados o CrashStealer tenta roubar?<\/h2>\n

    A lista de alvos do CrashStealer \u00e9 extensa. O principal alvo \u00e9 o Keychain, o gerenciador de credenciais integrado do macOS, onde o sistema armazena credenciais de contas, chaves criptogr\u00e1ficas, certificados, tokens e outros dados confidenciais.<\/p>\n

    Os usu\u00e1rios de gerenciadores de senhas de terceiros tamb\u00e9m n\u00e3o est\u00e3o protegidos: o malware rouba dados de 14 desses servi\u00e7os, incluindo 1Password, Bitwarden, LastPass, Dashlane, Keeper, KeePassXC, NordPass, Enpass e RoboForm.<\/p>\n

    Al\u00e9m disso, o malware coleta todas as credenciais e cookies armazenados em navegadores baseados no Chromium (Chrome, Brave, Edge, Opera, Opera GX, Vivaldi, Chromium e NAVER Whale) bem como no Firefox. Os invasores demonstram ter um grande interesse em ativos de criptomoedas: o CrashStealer tem como alvo espec\u00edfico os dados de 80 extens\u00f5es diferentes de carteiras de criptomoedas, incluindo MetaMask, Phantom, Coinbase Wallet, Trust Wallet, Rabby, Exodus, Keplr e Solflare.<\/p>\n

    Por fim, o malware verifica as pastas Documentos e Downloads em busca de arquivos que possam ser de interesse dos cibercriminosos. O CrashStealer criptografa todos os dados roubados com o algoritmo AES-256-GCM, os compacta em um arquivo ZIP e os envia ao servidor dos invasores.<\/p>\n

    Como proteger seu dispositivo<\/h2>\n

    O aumento dos ataques direcionados ao macOS \u00e9 um claro sinal de alerta: quem usa dispositivos Apple precisa adotar uma postura mais proativa em rela\u00e7\u00e3o \u00e0 seguran\u00e7a. Recomendamos:<\/p>\n