MacSouverain

FREN
radar

Un malware notarisé Apple passe Gatekeeper

CrashStealer, signé et notarisé par Apple, franchit Gatekeeper sans une alerte. La notarisation valide la signature, pas l'intention.

Un logiciel malveillant se déguise en outil de rapport de crash Apple. Il est signé par un Developer ID valide et notarisé par Apple elle-même. Résultat, il franchit Gatekeeper sans le moindre avertissement, parce que ton Mac vérifie la signature, jamais l’intention.


Le fait


Jamf Threat Labs a repéré un échantillon suspect sur VirusTotal début mai 2026, puis observé de vraies infections sur des Macs clients début juillet. Le malware s’appelle CrashStealer. Particularité rare, il est écrit en C++ natif, là où l’immense majorité des voleurs macOS bricolent en AppleScript. Il se fait passer pour un outil de rapport de crash Apple, le genre de fenêtre que tu as déjà vue cent fois sans y prêter attention.


La livraison est soignée. Le malware arrive dans un disque image nommé « Werkbit », l’app à l’intérieur s’appelle « Werkbit.app ». Fait notable, le DMG lui-même est signé, pas seulement l’app qu’il contient. Le certificat, un Developer ID au nom de « Emil Grigorov » (WWB7JA7AQV), valide, actif, notarisé par Apple. Le domaine de diffusion, werkbit[.]io, a été enregistré en juin 2026, et le téléchargement est verrouillé derrière un code PIN de réunion. Traduction, l’installeur n’est servi qu’à des victimes choisies, jamais aux scanners automatiques ni au visiteur de passage.


Une fois lancé, le dropper récupère la vraie charge depuis l’infrastructure de l’attaquant. Avant de récolter quoi que ce soit, il te présente un faux prompt système et valide ton mot de passe de session en local. Ensuite, il vide tout, les profils de navigateurs, le Trousseau, quatorze gestionnaires de mots de passe (1Password, Bitwarden, LastPass, Dashlane, Keeper compris) et près de quatre-vingts extensions de portefeuilles crypto. Le butin est chiffré en AES-GCM puis exfiltré via libcurl. Il se recopie et se re-signe pour persister.


Apple a révoqué le certificat de signature après le signalement de Jamf. Le mal était déjà fait pour ceux qui avaient cliqué.


Pourquoi Gatekeeper n’a rien vu


Voici le nœud. La notarisation Apple n’est pas un audit de sécurité. C’est un scan automatisé qui cherche des signatures de malware déjà connu et vérifie que le binaire est signé par un Developer ID valide. Rien de plus. Apple n’a pas lu le code de CrashStealer, elle n’a pas jugé ses intentions, elle a passé un binaire propre au moment du scan à travers une moulinette qui ne voyait rien de familier.


Le tampon de notarisation dit une seule chose, « ce fichier est signé par un développeur identifié et ne correspond à aucun malware connu ». Il ne dit pas « ce logiciel est sûr ». La nuance a l’air théorique. Elle est le sujet.


Un attaquant qui ouvre un compte Apple Developer à 99 dollars par an, sous une identité crédible, obtient un passe pour franchir Gatekeeper en silence. Le kill-switch d’Apple, la révocation du certificat, ne joue qu’après coup, une fois les dégâts documentés. Apple pousse ses défenses en silence, elle ne prévient pas quand elle a laissé passer. C’est un pompier, pas un vigile.


À lire : Ton Mac a été patché par XProtect à ton insu


Ce que ça change pour toi


Le réflexe collectif, « c’est signé Apple, donc c’est bon », vient de prendre une balle. Ton Mac fait confiance à la signature, pas à l’intention derrière. Un binaire notarisé n’est pas un binaire béni. C’est un binaire dont on connaît l’auteur déclaré, ce qui est utile pour le poursuivre après coup, inutile pour t’éviter l’infection.


Le ciblage par PIN de réunion change aussi la donne. Ce malware ne se pêche pas au chalut sur un forum de warez. Il arrive par invitation, dans un contexte qui a l’air professionnel, servi à toi et pas à un scanner. Le vieux réflexe « je ne télécharge que des trucs connus » ne suffit plus quand le lien t’est tendu à la main.


La vraie ligne de défense, ce n’est pas le tampon Apple. C’est toi, ta méfiance, et un outil qui voit ce que le logiciel fait vraiment une fois lancé, ses connexions sortantes.


Ce que tu fais maintenant


1. Traite toute app ou tout DMG reçu hors App Store comme suspect par défaut, surtout quand il arrive par invitation, lien direct ou message « installe ça pour la réunion ». La signature Apple ne rachète pas une provenance douteuse. Si tu ne l’as pas cherché toi-même, tu ne l’installes pas.


2. Un vrai prompt système macOS ne te redemande pas ton mot de passe admin sans raison claire. Une app fraîchement lancée qui réclame ton mot de passe login « pour continuer », sans installation légitime en cours, c’est un signal d’alerte, pas une formalité. Tu fermes, tu ne tapes rien.


3. Installe un pare-feu applicatif et laisse-le parler. Little Snitch ou LuLu te montrent les connexions sortantes inattendues, exactement le moment où un stealer part exfiltrer ton butin. C’est ta caméra de surveillance sur ce que le système fait dans ton dos.


À lire : Little Snitch vs LuLu, quel pare-feu sortant pour ton Mac


Et si tu as le moindre doute d’avoir exécuté un installeur douteux récemment, la marche à suivre existe déjà, elle est la même que pour les infostealers distribués par ingénierie sociale.


À lire : Google Ads et vrai chat Claude partagé vident tes credentials


Sources