پژوهشگران امنیت سایبری از شناسایی بدافزار CrashStealer در سیستم‌عامل مک‌اواس (macOS) خبر داده‌اند؛ یک بدافزار رباینده اطلاعات (Information Stealer) که با هدف سرقت داده‌های حساس از سیستم‌های آلوده طراحی شده است. بدافزار CrashStealer می‌تواند اطلاعات ارزشمند کاربران را استخراج کرده و امنیت دستگاه‌های آلوده را با ریسک جدی مواجه کند.
چگونه بدافزار CrashStealer اطلاعات کاربران را سرقت می‌کند؟
بر اساس اعلام آزمایشگاه Jamf Threat Labs، بدافزار CrashStealer برخلاف بسیاری از بدافزارهای رباینده اطلاعات که بر پایه دراپرهای اپل‌اسکریپت (AppleScript Droppers) یا Wrapperهای مبتنی بر آبجکتیو-سی (Objective-C) توسعه یافته‌اند، به‌صورت بومی با زبان C++ نوشته شده است؛ موضوعی که علاوه بر افزایش کارایی، تحلیل و شناسایی آن را نیز دشوارتر می‌کند.
به گفته پژوهشگران، این بدافزار پیش از آغاز سرقت اطلاعات، رمز عبور ورود کاربر را به‌صورت لوکال اعتبارسنجی می‌کند. سپس اطلاعات موجود در مرورگرها، کیف پول‌های رمزارزی، نرم‌افزارهای مدیریت رمز عبور (Password Managers) و کی‌چین (Keychain) را جمع‌آوری می‌کند و پس از رمزگذاری با AES-GCM، آن‌ها را از طریق کتابخانه libcurl برای سرور مهاجم ارسال می‌کند. همچنین این بدافزار با کپی کردن خود و امضای مجدد (Re-signing)، پایداری (Persistence) خود را در سیستم حفظ می‌کند.
زنجیره آلودگی بدافزار CrashStealer
بررسی‌های Jamf Threat Labs نشان می‌دهد مهاجمان برای توزیع بدافزار CrashStealer از یک دراپر امضاشده استفاده می‌کنند که تأییدیه Apple Notarization را دریافت کرده است. این دراپر در قالب یک فایل ایمیج دیسک (Disk Image) با نام Werkbit.app در اختیار قربانی قرار می‌گیرد. از آنجا که هم فایل ایمیج دیسک و هم فایل اجرایی آن دارای Notarization و شناسه توسعه‌دهنده (Developer ID) معتبر با نام Emil Grigorov (WWB7JA7AQV) هستند، گیت‌کیپر (Gatekeeper) آن‌ها را به‌عنوان فایل‌های معتبر شناسایی کرده و اجازه اجرای آن‌ها را صادر می‌کند.
این فایل از طریق دامنه werkbit[.]io که در ژوئن 2026 ثبت شده است، توزیع می‌شود. با این حال، فایل نصب در دسترس همه بازدیدکنندگان قرار ندارد و فقط کاربرانی که پین جلسه (Meeting PIN) صحیح را وارد کنند، امکان دریافت آن را خواهند داشت. به گفته پژوهشگران، شناسایی دامنه‌های دیگر و زیرساخت بک‌اند مشترک (Shared Backend) مرتبط با این عملیات نشان می‌دهد که این بدافزار بخشی از یک کمپین گسترده و چندسکویی (Multi-platform Campaign) است.
پس از مونت شدن یا بارگذاری (Mount) فایل ایمیج دیسک ، پنجره نصب از کاربر می‌خواهد با راست‌کلیک روی برنامه، گزینه Open را انتخاب کند. پس از اجرای برنامه، فایل اجرایی veltod به یک مخزن گیت‌هاب با آدرس github.com/mgothiclove متصل می‌شود تا فایل sys.cache را دریافت کند.
سپس از این فایل برای استخراج یک دستور curl و دریافت یک اسکریپت شل (Shell Script) استفاده می‌شود. این اسکریپت نقش یک دانلودکننده را بر عهده دارد و پس از دریافت پیلود بعدی با نام CrashReporter.dmg، آن را برای اجرا آماده کرده و در دایرکتوری /tmp ذخیره می‌کند.
مراحل فعالیت بدافزار پس از اجرا
بدافزار CrashStealer پس از اجرا، برای حفظ پایداری خود یک LaunchAgent ایجاد می‌کند و با به‌کارگیری تکنیک‌های مختلف، تحلیل آن را برای ابزارهای امنیتی دشوار می‌سازد. سپس پنجره‌ای برای دریافت رمز عبور نمایش داده و اعتبارنامه واردشده را به‌صورت لوکال اعتبارسنجی می‌کند. پس از تأیید رمز عبور، کی‌چین ورود (Login Keychain) را باز کرده، ابزارهای امنیتی و تحلیل نصب‌شده روی سیستم را شناسایی می‌کند و در نهایت سراغ جمع‌آوری اطلاعات از مرورگرها، کیف پول‌های رمزارزی، نرم‌افزارهای مدیریت رمز عبور و کی‌چین می‌رود.
اطلاعات هدف سرقت بدافزار
بدافزار CrashStealer در مرحله جمع‌آوری اطلاعات، طیف گسترده‌ای از داده‌های حساس را هدف قرار می‌دهد که شامل موارد زیر است:
- اطلاعات ورود مرورگرهای مبتنی بر کرومیوم (Chromium) از جمله Google Chrome، Brave، Microsoft Edge، Opera، Opera GX، Vivaldi، Chromium و Naver Whale
- اطلاعات نزدیک به 80 افزونه کیف پول رمزارزی از جمله MetaMask، Phantom، Coinbase Wallet، Trust Wallet، Rabby، OKX Wallet، Exodus، Keplr، Solflare و Backpack
- داده‌های ذخیره‌شده در 14 نرم‌افزار مدیریت رمز عبور از جمله 1Password، Bitwarden، LastPass، Dashlane، Keeper، KeePassXC، NordPass، Enpass و RoboForm
- فایل‌های موجود در پوشه‌های اسناد و دانلودهای کاربر
پس از پایان عملیات، داده‌های سرقت‌شده در قالب یک فایل ZIP فشرده شده و به سرور تحت کنترل مهاجم با آدرس 179.43.166[.]242 ارسال می‌شوند.
چه چیزی این بدافزار را از نمونه‌های مشابه متمایز می‌کند؟
به گفته پژوهشگران Jamf، تفاوت اصلی این بدافزار با بسیاری از بدافزارهای رباینده اطلاعات، بیش از آنکه به داده‌های هدف مربوط باشد، به نحوه طراحی و پیاده‌سازی آن بازمی‌گردد.
مهاجمان به‌جای استفاده از فایل‌های فریبنده و بدون امضا، حمله را با یک دراپر امضاشده و دارای Apple Notarization آغاز می‌کنند تا بدون ایجاد هشدار از بررسی‌های گیت‌کیپر عبور کند. این دراپر پس از اجرا، پیلود اصلی را دریافت کرده، مجدداً امضا و اجرا می‌کند.
وجه تمایز دیگر این بدافزار به نحوه پیاده‌سازی آن بازمی‌گردد. بدافزار CrashStealer برای دشوار کردن تحلیل و مهندسی معکوس، از مجموعه‌ای از تکنیک‌های پیشرفته مانند رمزنگاری فایل‌های سرقت‌شده در سمت کاربر با AES-GCM (Client-side AES-GCM Encryption)، پیچیده‌سازی جریان اجرای کد، رشته‌های متنی رمزگذاری‌شده و مکانیزم‌های چندلایه ضد دیباگ (Layered Anti-debugging) استفاده می‌کند. ترکیب این تکنیک‌ها باعث می‌شود تحلیل عملکرد بدافزار و مهندسی معکوس آن، در مقایسه با بسیاری از بدافزارهای رباینده اطلاعات رایج، به‌مراتب دشوارتر باشد.
