Appleが公証しました。それでも14のパスワードマネージャーが空にされました。

Jamfの担当者が先週、山積みになったMacアプリの中から1つを引っ張り出しました。すべてを正しくこなしていたアプリです。本物のApple Developer IDで署名されています。Apple自身による公証を受けています。警告を一つも出さずにGatekeeperを通過していました。名前はCrashStealer。このアプリはマシンを丸裸に奪っていきました。

ダイアログボックスひとつ。これが強奪のすべてです。

セットアップアプリに見えるものをダウンロードすると、すべてのAppleのチェックを通過します。なぜなら、本当にすべてのAppleのチェックを通過するからです。そのアプリは静かにGitHubから第2のアプリを取得し、Apple純正のクラッシュレポーターに仕立て上げます。そして、すべてのMacユーザーが反射的に従うよう訓練されてきた、あのダイアログを1つだけ表示します。ログインパスワードを求めるシステムのダイアログです。ユーザーがパスワードを入力すると、マルウェアはパスワードが本物であることを確認し、そのパスワードを使ってmacOSキーチェーンをロック解除し、中身をすべて持ち去ります。

すべてです。キーチェーン。ブラウザーのログイン情報。80の暗号資産ウォレット拡張機能。そして名前を挙げれば14のパスワードマネージャーです。1Password、Bitwarden、LastPass、Dashlane、Keeper、さらに9つ。スティーラー1つ、午後1つ、偽造されたパスワードダイアログ1つ。

ボールトはずっとあなたのMacの中にありました。

これらのパスワードマネージャーのどれもハッキングされていません。ここが重要な部分なので、はっきりと書いておきます。1Passwordに侵入した者はいません。Bitwardenに侵入した者もいません。それらのサーバーは無事です。マルウェアは一度もそれらに近づいていません。マルウェアがしたのは、あなたのMacに置かれているボールトを、あなたが差し出したログインパスワードで開いただけです。なぜなら、それらのボールトはそこに存在しているからです。復号済みであるか、キーチェーンのロック解除ひとつで開く状態で、同じマシンの中に。そのマシンは、説得力のある嘘ひとつで誰でも乗っ取ることができます。

箱のどこにも書かれていない法則があります。ボールトがあなたのデバイス上で復号されるなら、あなたのデバイスを乗っ取ればボールトも乗っ取れる、というものです。あなたのパスワードマネージャーの安全性は、そのノートパソコン上で過ごす最も不注意な一秒とまったく同じです。Appleの公証はあなたを守りませんでした。強盗を通しただけです。公証がチェックするのは、あなたがアップロードしたファイルであって、そのファイルが1時間後にダウンロードするファイルではないからです。そして第2のアプリはGatekeeperに一度も出会いません。実行中のプログラムが書き込むものは、チェックをスキップするからです。信頼チェーンの全体は、奥に壁のない玄関ドアのデッドボルトです。

Appleは、Jamfが報告した時点で開発者の署名資格を取り消しました。次の集団は金曜までに新しい資格情報を登録します。この手法について何も修正されていないからです。

では、あなたのパスワードマネージャーが侵害されるかどうかを問うのはやめてください。おそらくされません。本当の問いを立ててください。スティーラーは、ボールトが復号されるマシンを乗っ取ったとき、何を持ち去るのか。14というリストのどの製品についても、答えは「すべて」です。

何もない部屋。

この答えが及ばないアーキテクチャが1つだけあります。それが私たちが構築したものです。Clavitorは、あなたのマシン上でボールトを復号しません。開くべきローカルのボールトファイルは存在せず、キーチェーンに置かれるものもなく、偽のダイアログに盗まれうるログインパスワードは鍵の経路のどこにも存在しません。ボールトの鍵は、あなたのハードウェアキーの中に、他のどこにもなく、そこにだけ存在するからです。資格情報は、使用する瞬間に1件ずつライブで取得され、その後は消えます。CrashStealerはClavitorのマシンに対してすべての手順を実行しても、何もない部屋と、何も解錠しないパスワードプロンプトを見つけるだけです。

これでエンドポイントが安全になると言うのは嘘になります。資格情報が使用中の間にマシンを乗っ取れば、その1件の資格情報を、その1瞬間に奪うことはできます。しかし、それは移動中の鍵が1本という話であり、保管中のボールトが14個という話ではありません。CrashStealerのビジネスモデル全体は、戦利品がそこに転がっていることに依存しています。戦利品を撤去すれば、macOS上で最も洗練されたスティーラーが持ち帰れるのは、有効期限が切れるトークン1つと壁紙の写真だけです。

14のパスワードマネージャーが、ダイアログボックスひとつで空にされ、そのどれもハッキングされていません。これで、あなたの秘密が夜にどこで眠るかについての考え方が変わらないなら、変わるものはありません。

Clavitor (@clavitorai) は、AIエージェントのために、そしてAIエージェントに対して構築された資格情報ボールトです。 clavitor.ai

出典

Jamf Threat Labs (@jamf): 「CrashStealer: C++ macOS Infostealer Posing as Crash Reporter」。一次分析。公証済みのドロッパーがGatekeeperを通過し、第2段階のクラッシュレポーターなりすましアプリを取得して再署名し、ログインパスワードのプロンプトを偽造し（ローカルで検証）、macOSキーチェーンをロック解除し、ブラウザー、約80のウォレット拡張機能、14のパスワードマネージャーから収集して、AES-GCMで送信します。AppleはJamfの報告後、開発者の署名資格を取り消しました。[1]

BleepingComputer (@BleepinComputer): 「New CrashStealer malware poses as Apple crash reporting tool」。[2]

The Hacker News (@TheHackersNews): 「CrashStealer macOS Malware Uses Notarized Dropper to Pass Gatekeeper Checks」。[3]

（投稿前にハンドルが有効であることを確認してください: @jamf、@BleepinComputer、@TheHackersNews。）