Apple lo ha notarizzato. E comunque ha svuotato quattordici password manager.

Qualcuno della Jamf ha estratto la settimana scorsa dal mucchio un'app per Mac che aveva fatto tutto correttamente. Firmata con un vero Apple Developer ID. Notarizzata da Apple stessa. Superata da Gatekeeper senza un solo avviso. Si chiamava CrashStealer e ha derubato la macchina alla cieca.

Una finestra di dialogo. Questo è tutto il colpo.

Si scarica quello che sembra un'app di installazione e supera ogni controllo di Apple, perché supera effettivamente ogni controllo di Apple. Scarica silenziosamente una seconda app da GitHub, la traveste da crash reporter di Apple e fa comparire l'unica finestra di dialogo a cui ogni utente Mac è stato addestrato a obbedire per riflesso: una finestra di sistema che chiede la password di accesso. La digita. Il malware conferma che la password è reale, poi la usa per sbloccare il keychain di macOS e portarsi via tutto ciò che contiene.

Tutto. Il keychain. I login del browser. Ottanta estensioni per wallet di criptovalute. E quattordici password manager, per nome: 1Password, Bitwarden, LastPass, Dashlane, Keeper e altri nove. Un solo stealer, un pomeriggio, una sola finestra di dialogo contraffatta per la password.

Il vault era sul suo Mac per tutto il tempo.

Nessuno di quei password manager è stato violato. È la parte che conta, quindi la dico chiaramente: nessuno ha violato 1Password, nessuno ha violato Bitwarden, i loro server stanno bene, il malware non li ha mai nemmeno sfiorati. Si è limitato ad aprire i vault presenti sul suo Mac, con la password di accesso che lei gli ha fornito, perché è lì che quei vault risiedono, decifrati o a un solo sblocco del keychain di distanza, sulla stessa macchina che chiunque può compromettere con una singola menzogna convincente.

Questa è la legge che nessuno stampa sulla confezione: se il suo vault viene decifrato sul suo dispositivo, allora possedere il suo dispositivo significa possedere il suo vault. Il suo password manager è sicuro esattamente quanto il secondo meno attento che lei avrà mai su quel laptop. La notarizzazione di Apple non l'ha protetta, ha fatto passare il ladro, perché controlla il file che lei carica, non il file che quel file scarica un'ora dopo. E la seconda app non incontra mai Gatekeeper, perché qualsiasi cosa scritta da un programma in esecuzione salta il controllo. L'intera catena di fiducia è una serratura sulla porta d'ingresso senza muro dietro.

Apple ha revocato le credenziali di firma dello sviluppatore non appena Jamf le ha segnalate. La prossima squadra ne registra di nuove entro venerdì, perché nulla della tecnica è stato corretto.

Smetta quindi di chiedersi se il suo password manager verrà violato. Probabilmente non lo sarà. Si ponga la domanda reale: cosa si porta via uno stealer quando possiede la macchina su cui il suo vault viene decifrato? Per ciascuno dei prodotti in quell'elenco di quattordici, la risposta è: tutto.

Una stanza vuota.

Esiste un'architettura che quella risposta non tocca, ed è quella che abbiamo costruito. Clavitor non decifra mai un vault sulla sua macchina. Non esiste un file di vault locale da aprire, nulla di parcheggiato nel keychain, e nessuna password di accesso in alcun punto del percorso della chiave che una finestra di dialogo possa contraffare per rubarla, perché la chiave del vault vive sulla sua chiave hardware e in nessun altro luogo. Le credenziali vengono recuperate in tempo reale, una alla volta, nell'istante in cui vengono utilizzate, e poi scompaiono. CrashStealer può eseguire l'intera routine su una macchina Clavitor e trovare una stanza vuota e un prompt per la password che non sblocca nulla.

Sarebbe una bugia dire che questo rende l'endpoint sicuro. Se si possiede la macchina mentre una credenziale è in uso, è possibile impossessarsi di quella singola credenziale, in quel singolo istante. Ma è una singola chiave in transito, non quattordici vault a riposo. L'intero modello di business di CrashStealer è che il bottino se ne sta semplicemente lì. Togliete il bottino, e lo stealer più sofisticato su macOS se ne va con un token in scadenza e una foto dello sfondo del desktop.

Quattordici password manager, svuotati da una finestra di dialogo, e nessuno di essi è stato violato. Se questo non cambia il modo in cui pensa a dove dormono i suoi segreti di notte, nulla lo farà.

Clavitor (@clavitorai) è il vault per credenziali costruito per gli agenti AI, e contro di essi. clavitor.ai

Fonti

Jamf Threat Labs (@jamf): "CrashStealer: C++ macOS Infostealer Posing as Crash Reporter". L'analisi principale: un dropper notarizzato supera Gatekeeper, recupera e ri-firma un imitatore di crash reporter di secondo stadio, contraffà il prompt della password di accesso (validata in locale), sblocca il keychain di macOS e raccoglie browser, circa 80 estensioni per wallet e 14 password manager prima dell'exfil AES-GCM. Apple ha revocato le credenziali di firma dello sviluppatore dopo il report di Jamf. [1]

BleepingComputer (@BleepinComputer): "New CrashStealer malware poses as Apple crash reporting tool". [2]

The Hacker News (@TheHackersNews): "CrashStealer macOS Malware Uses Notarized Dropper to Pass Gatekeeper Checks". [3]

(Verificare che gli handle siano attivi prima della pubblicazione: @jamf, @BleepinComputer, @TheHackersNews.)