CrashStealer : la notarisation Apple prise en défaut

Werkbit, l’application qui a traversé Gatekeeper sans le forcer

Début juillet 2026, les chercheurs de Jamf Threat Labs ont documenté CrashStealer, un logiciel espion écrit en C++ natif qui cible les Mac.

Repéré une première fois en mai sur VirusTotal, encore en phase de développement, il est passé en exploitation active début juillet, un mois et demi seulement après ses premiers tests.

Sa particularité tient à son vecteur d’entrée. Il se présente sous la forme de Werkbit, une fausse application de visioconférence signée avec un identifiant Developer ID valide et notariée par Apple, jusqu’à l’image disque elle même, un détail que Jamf juge inhabituel dans ce type de campagne.

Le fichier a donc franchi Gatekeeper sans déclencher le moindre avertissement, avant de télécharger en plusieurs étapes un second module se faisant passer pour l’outil de rapport de plantage d’Apple.

Une fois installé, il vide les trousseaux, une quarantaine de gestionnaires de mots de passe et près de quatre vingt extensions de portefeuilles de cryptomonnaies, avant de chiffrer et d’exfiltrer le tout.

Ce que la chasse aux bugs d’Apple ne couvre pas

La plupart des relais de presse se sont arrêtés sur la ruse du faux rapport de plantage, plutôt spectaculaire avec son identifiant de bundle com.apple.crashreporter repris tel quel.

Le vrai basculement se situe ailleurs. En octobre 2025, Apple a doublé la récompense offerte à quiconque démontrerait un contournement complet de Gatekeeper sans interaction de l’utilisateur, précisant n’avoir jamais reçu un tel rapport depuis le lancement du programme en 2020.

CrashStealer ne contourne pourtant rien au sens où Apple l’entend dans ce programme. Il obtient un identifiant de développeur légitime et passe par la porte d’entrée sans avoir besoin de forcer la serrure.

C’est un déplacement du terrain d’attaque, de la vulnérabilité technique vers l’abus de confiance dans le système d’identité, un angle que la chasse aux bugs classique ne récompense pas puisqu’elle cherche des failles, pas des comptes de développeur mal surveillés.

Pourquoi Gatekeeper ne surveille qu’une seule fois

Gatekeeper agit essentiellement comme un contrôle d’entrée. Lorsqu’un fichier téléchargé porte l’attribut étendu com.apple.quarantine, posé le plus souvent par le navigateur, Mail ou Messages, macOS vérifie la signature du code et interroge le service de notarisation d’Apple avant le tout premier lancement.

Werkbit a passé ce contrôle parce que son certificat Developer ID, associé à un compte au nom d’Emil Grigorov, était valide au moment des faits, et parce que le ticket de notarisation était bien agrafé au binaire.

Le point aveugle apparaît ensuite. Une fois Werkbit lancé et la confiance de l’utilisateur acquise, le processus contacte un dépôt GitHub pour récupérer des instructions cachées, puis un serveur distant pour télécharger un script obfusqué qui va chercher à son tour le module CrashReporter.dmg.

Ce second binaire ne dispose que d’une signature ad hoc, sans Developer ID ni notarisation. Téléchargé depuis un navigateur, un tel fichier aurait déclenché l’avertissement Gatekeeper habituel.

Mais ici, il est récupéré et exécuté par un processus déjà en cours d’exécution, via une requête réseau interne, sans jamais transiter par un canal qui appose l’attribut de quarantaine. Gatekeeper, conçu pour surveiller ce qui arrive depuis l’extérieur, ne voit tout simplement rien passer une fois qu’un processus de confiance est en place.

Le reste de la chaîne technique confirme un savoir faire supérieur à la moyenne des voleurs d’informations habituels sur Mac. Le mot de passe saisi dans une fausse fenêtre d’authentification est validé localement avec la commande dscl avant d’ouvrir le trousseau de connexion, ce qui évite toute tentative erronée visible côté serveur.

Les données collectées sont chiffrées fichier par fichier en AES 256 GCM avant d’être regroupées dans des archives ZIP cachées et exfiltrées via libcurl. La persistance s’appuie sur un agent de lancement nommé com.apple.crashreporter.helper, avec une nouvelle signature ad hoc à chaque copie, ce qui modifie le hash du binaire et complique la détection par simple empreinte.

Ce que cela change pour les parcs Mac professionnels

Apple a réagi vite une fois alertée par Jamf, en révoquant les identifiants de signature associés à Werkbit. Cette réponse reste néanmoins réactive, elle intervient après l’infection de victimes visiblement ciblées, l’accès au faux installeur étant verrouillé derrière un code de réunion distribué au cas par cas.

Dans les six prochains mois, il faut s’attendre à ce qu’Apple muscle la surveillance comportementale après le premier lancement, dans la continuité de ce que fait déjà XProtect Remediator, plutôt que de se contenter d’un contrôle ponctuel à l’installation.

Un resserrement de la vérification continue des comptes Developer ID, avec une révocation déclenchée sur des signaux faibles plutôt que sur une preuve confirmée d’abus, paraît également plausible au vu de la fréquence croissante de ce type d’incident.

Pour les administrateurs de flottes Mac en entreprise, la leçon dépasse le seul cas Werkbit. Une notarisation valide ne garantit plus rien sur le comportement d’une application après son premier lancement, ce qui déplace la vigilance vers la supervision du réseau et des processus enfants plutôt que vers le seul contrôle de signature à l’installation.

Des outils de détection comportementale, qu’ils viennent d’éditeurs tiers ou d’XProtect côté Apple, deviennent ainsi le complément obligatoire de Gatekeeper plutôt qu’une option secondaire. Pour l’utilisateur individuel en revanche, le réflexe reste simple, se méfier d’un fichier nommé CrashReporter qui n’a rien à faire sur un Mac puisque cet outil est déjà intégré au système depuis l’origine.

Source

CrashStealer: C++ macOS Infostealer Posing as Crash Reporter, Jamf Threat Labs, 13 juillet 2026.
https://www.jamf.com/blog/crashstealer-macos-infostealer-analysis/

Tableau des sources

Titre	URL	Auteur original	Date
CrashStealer: C++ macOS Infostealer Posing as Crash Reporter	jamf.com	Jamf Threat Labs	13 juillet 2026
‘CrashStealer’ malware poses as an Apple tool to steal passwords & Mac data	appleinsider.com	Andrew Orr, AppleInsider	13 juillet 2026
New macOS malware steals passwords by posing as Apple’s crash-reporting tool	helpnetsecurity.com	Sinisa Markovic, Help Net Security	14 juillet 2026
A major evolution of Apple Security Bounty (contexte prime Gatekeeper)	security.apple.com	Apple Security Research	10 octobre 2025

Vous avez une question, une idée ou une remarque ? Je serai ravi de vous lire ! ✉️ henrido@hdrapin.com