Un’app Apple contraffatta capace di rubare le password del Mac è finita sotto la lente dei ricercatori di sicurezza informatica in questi giorni. Il nome del programma è CrashStealer e si tratta di uno strumento pensato per il furto di informazioni su macOS, camuffato da componente ufficiale del sistema. La cosa più insidiosa è che riesce a farlo passando sotto il radar delle protezioni integrate del Mac, sfruttando un programma di installazione autenticato da Apple per aggirare Gatekeeper.
Il meccanismo è studiato con una certa cura. Il malware si spaccia per il componente CrashReporter di Apple, usando il nome CrashReporter.app e appropriandosi di icona e metadati dello strumento originale. In pratica, tutto appare familiare e affidabile agli occhi dell’utente. Una volta dentro, crea un LaunchAgent chiamato com.apple.crashreporter.helper, così da radicarsi nel sistema e sembrare parte integrante del software Apple.
L’obiettivo è semplice e piuttosto pericoloso, ovvero convincere le persone a digitare la propria password. Da lì il gioco è fatto. Il programma va a saccheggiare gestori di password, browser, portafogli di criptovalute e altri dati riservati. Il programma di installazione, chiamato Werkbit Setup e autenticato da un notaio, viene distribuito attraverso un sito di software fasullo registrato alla fine di giugno. Il dettaglio interessante è che quel sito risulta accessibile soltanto tramite un PIN, un numero di identificazione personale. Questo fa pensare a una campagna mirata, probabilmente accessibile solo su invito e diretta a bersagli precisi.
Come proteggersi dall’app Apple contraffatta
Difendersi da questa app Apple contraffatta significa impedire che qualcuno metta le mani su password personali, dati sensibili e criptovalute. E i consigli per farlo, per fortuna, non sono complicati da mettere in pratica.
Il primo riguarda proprio il nome usato dal malware. Gli strumenti di segnalazione degli arresti anomali di Apple sono già dentro macOS, quindi conviene sempre diffidare di qualsiasi download che prometta un CrashReporter da installare a parte. Non ha semplicemente senso.
Attenzione poi ai programmi di installazione protetti da PIN. Se qualcosa arriva con questo tipo di barriera, meglio verificare la richiesta usando un canale affidabile e separato, prima di procedere con qualunque installazione. Un altro segnale da non ignorare è la richiesta della password subito dopo l’avvio di un’app nuova o sconosciuta. Quello è un vero e proprio campanello d’allarme e vale la pena fermarsi a ragionare invece di digitare in automatico.
C’è infine una buona abitudine che riguarda soprattutto chi maneggia valori digitali. Conviene suddividere i rischi, evitando quando possibile di tenere tutto sullo stesso dispositivo e sullo stesso utente. In particolare, i portafogli di criptovalute di alto valore andrebbero gestiti con più cautela, senza concentrarli in un unico punto facilmente attaccabile. Distribuire i dati sensibili riduce il danno potenziale nel caso in cui una singola difesa dovesse cedere.