CrashStealerは、Appleの「CrashReporter」コンポーネントを装う新型macOS情報窃取マルウェアです。Appleがノータライズ(公証)したインストーラーを利用してGatekeeperをすり抜け、ユーザーを騙してパスワードを入力させたうえで、ブラウザ、パスワードマネージャー、暗号資産ウォレット、Keychainの機密情報を組織的に窃取し、AES暗号化したデータをまとめて外部に送信します。
研究者は2026年5月以降、CrashStealerの動向を追跡してきました。このマルウェアはCrashReporter.appという名称を使い、Appleの「CrashReporter」コンポーネントになりすまします。さらにcom.apple.crashreporter.helperという名前のLaunchAgentを作成し、正規ツールのアイコンとメタデータを流用することで、できる限り信頼できるアプリに見せかけています。
Gatekeeperは、いわばmacOSの門番であり、アプリが安全かどうかをチェックしたうえで実行を許可します。ノータライズ済みのインストーラー、つまりAppleがスキャンして問題なしとお墨付きを与えたものを使うと、Gatekeeperが警告を出さずに通してしまう可能性が高くなります。ノータライズを取得したからといって、Appleがそのマルウェアを意図的に承認したわけではありません。あくまでインストーラーがAppleの自動チェックを通過したというだけであり、攻撃者はその信頼性を悪用しているのです。
「Werkbit Setup」と呼ばれるこのノータライズ済みインストーラーは、6月下旬に登録された偽のソフトウェアサイトから配布されており、ミーティング用PIN(暗証番号)によるゲートがかけられています。これは、標的を絞った招待制のキャンペーンであることをうかがわせます。
起動されると、このマルウェアは偽のmacOSパスワード入力画面を表示します。これは、管理者権限を必要とする正規のシステム操作を実行する際にユーザーが目にすると予想される画面です。しかし実際には、マルウェアはこのパスワードを使ってユーザーのKeychainを解錠します。Keychainは、macOSの暗号化されたパスワード保管庫であり、パスワードやその他の機密データを保存する場所です。
その後、このマルウェアはブラウザの認証情報やCookie、暗号資産ウォレットの拡張機能、パスワードマネージャーのデータ、そして一般的なユーザーディレクトリ内の小さなファイルを窃取します。盗み出したデータは暗号化されたうえで、C2(コマンド&コントロール)サーバーへ送信されます。
CrashStealerは、macOSが今や認証情報窃取キャンペーンの標的として完全に狙われていることを改めて示す事例です。ノータライズやGatekeeperは多くのリスクを軽減してくれますが、それだけでは不十分であり、多層的な防御、慎重なユーザー行動、そして継続的な脅威監視が依然として欠かせません。
身を守るための対策
CrashStealerをはじめとする情報窃取マルウェアから身を守るために、以下の対策を心がけましょう。
- 「CrashReporter」をうたうダウンロードには要注意。Appleのクラッシュレポート機能はmacOSに標準搭載されているため、サードパーティサイトから別途CrashReporterアプリをダウンロードする必要は本来ありません。
- PINでロックされたインストーラーには慎重に対応。ミーティングの招待や共同作業ツールから、見慣れないドメインでソフトウェアをダウンロードし、プライベートなPINでインストーラーを解錠するよう求められた場合は、別の信頼できる手段で主催者に事実確認を行ってください。
- 新しい、または見慣れないアプリ、特にシステムコンポーネントを名乗るアプリを起動した直後にパスワード入力を求められた場合は、危険信号として扱ってください。
- macOSに対応した信頼できるセキュリティソフトを使用し、そのソフトとmacOS自体を常に最新の状態に保ちましょう。
- リスクを分散させましょう。可能な限り、高額な暗号資産ウォレットやパスワード保管庫を、日常的なブラウジングに使う認証情報と同じマシン・同じユーザープロファイル上に置かないようにしてください。
Malwarebytesは、CrashStealerをMacOS.Stealer.Crashとして検出します。
