C’è una frase che si sente spesso nelle piccole imprese italiane, di solito detta con una certa tranquillità: «in ufficio usiamo i Mac, quindi di virus non ci preoccupiamo». Una ricerca pubblicata il 13 luglio dai laboratori di sicurezza di Jamf mostra perché quella tranquillità, oggi, va aggiornata.
Il malware si chiama CrashStealer. La sua particolarità non è cosa fa — ruba password, come tanti altri — ma come arriva: con la firma di Apple addosso.
Il controllo di Apple, superato senza un avviso
Ogni Mac ha un guardiano all’ingresso: si chiama Gatekeeper e serve a bloccare i programmi che non arrivano da fonti riconosciute. Quando scarichi un’applicazione non fidata, è lui che fa comparire l’avviso “impossibile aprire questo software”. Per superarlo, gli sviluppatori legittimi firmano i programmi con un certificato Apple e li sottopongono alla notarizzazione, un controllo automatico di Apple che rilascia una specie di bollino di garanzia.
CrashStealer arriva con quel bollino. Il file di installazione, distribuito come immagine disco e chiamato “Werkbit Setup”, è regolarmente firmato con un Developer ID valido e porta allegato un ticket di notarizzazione autentico. Risultato: al primo avvio Gatekeeper non mostra nessun avviso. Il controllo di sicurezza di Apple, semplicemente, non entra in funzione.
Il dropper è firmato con un Developer ID valido, ha hardened runtime attivo e un ticket di notarizzazione allegato: per Gatekeeper è software legittimo a tutti gli effetti.
Fonte: Jamf Threat Labs, BleepingComputer — 13 luglio 2026
Una volta dentro, il programma scarica il vero payload da un server esterno e lo esegue da una cartella nascosta. A quel punto si traveste da CrashReporter.app, cioè da strumento di Apple per la segnalazione degli errori: quella finestrella che ogni tanto compare davvero quando un’app si chiude da sola. È una scelta astuta, perché è esattamente il momento in cui un utente è meno insospettito.
La finestra che chiede la password: è quello il momento
Qui sta il passaggio decisivo, ed è l’unico che dipende dalla persona seduta davanti al computer.
Il malware mostra una richiesta di password nativa, disegnata per assomigliare a una normale richiesta di autorizzazione di macOS. Non è un sito web né una email: è una finestra che sembra in tutto e per tutto quella vera di sistema. E per non farsi scoprire, verifica la password localmente (con uno strumento di sistema chiamato dscl): se scrivi quella sbagliata te lo dice, esattamente come farebbe macOS. Il che rende la messinscena ancora più credibile.
Se la password la digiti, il resto è automatico.
Cosa finisce nelle mani degli attaccanti
L’elenco è il motivo per cui questa storia interessa a un imprenditore e non solo a un tecnico:
- il keychain, cioè il portachiavi di sistema del Mac: password salvate, credenziali Wi-Fi, chiavi crittografiche;
- credenziali e cookie dei browser Chromium e Firefox — i cookie sono importanti quanto le password, perché possono consentire di entrare in un account saltando l’autenticazione a due fattori;
- oltre 80 estensioni di wallet di criptovalute;
- 14 password manager, tra cui 1Password, Bitwarden, LastPass e Dashlane;
- i file contenuti in Documenti e Download.
Prima di spedire tutto fuori, il malware cifra i dati con un algoritmo robusto (AES-256-GCM), un livello di cura che Jamf definisce inusuale per software di questo tipo.
In una piccola impresa il password manager contiene di solito tutto insieme: home banking, gestionale, email aziendale, pannello del sito, account social e fatturazione. Chi lo apre non ruba una password: prende l'azienda. È il singolo file più prezioso che esista su quel Mac.
Cosa cambia da lunedì mattina
Non serve un reparto IT. Le mosse utili sono poche e concrete.
- Tratta ogni richiesta della password di sistema come sospetta. È la regola che da sola blocca questo attacco. macOS chiede la password di amministratore in momenti prevedibili: quando installi un programma che hai appena scaricato tu, quando cambi un’impostazione di sistema. Se la finestra compare da sola, mentre stai facendo altro, o subito dopo un finto messaggio di errore, la risposta è chiudere — non compilare per riflesso.
- Scarica software solo dalla fonte ufficiale. Il App Store o il sito del produttore, raggiunto digitando l’indirizzo, non cliccando su un risultato sponsorizzato o su un link ricevuto.
- Se il dubbio c’è, cambia le password dal telefono, non dal Mac. Se sospetti di aver digitato la password in una finestra strana, il Mac va considerato non affidabile finché non è stato controllato: cambia la password principale del password manager e quelle di banca ed email da un altro dispositivo, e chiudi le sessioni attive dai pannelli di sicurezza dei servizi (è il modo per invalidare i cookie rubati).
- Non dare per scontato che il bollino Apple sia una garanzia assoluta. Resta un filtro utile — la stragrande maggioranza del software notarizzato è pulita — ma questo caso dimostra che non è una barriera invalicabile.
In breve
CrashStealer è un malware per macOS distribuito con un installer firmato e notarizzato da Apple, che quindi supera Gatekeeper senza mostrare avvisi. Si traveste da strumento Apple per la segnalazione degli errori, chiede la password di sistema con una finestra pressoché identica a quella vera e, se la ottiene, svuota keychain, browser, wallet e 14 password manager. È stato osservato in attacchi reali. Jamf ha segnalato ad Apple il Team ID usato per firmarlo; al momento non risulta confermata pubblicamente la revoca del certificato.