CrashStealer: il malware per macOS che si finge un componente Apple
Chi usa Mac spesso vive con una convinzione molto comoda: “Tanto io ho Apple, queste cose succedono agli altri”.
Purtroppo no.
CrashStealer è un nuovo infostealer per macOS, cioè un malware progettato per rubare informazioni sensibili dal computer. La cosa preoccupante non è solo quello che ruba, ma come riesce a sembrare affidabile.
Si presenta infatti come CrashReporter.app, richiamando il nome di un componente reale dell’ecosistema Apple. In pratica, cerca di travestirsi da strumento di sistema, usando nome, icona e metadati simili a quelli legittimi, così da non insospettire l’utente.
E qui arriva il primo punto importante: il malware non prova solo a ingannare il computer. Prova soprattutto a ingannare la persona davanti allo schermo.
Perché CrashStealer è pericoloso
CrashStealer è stato osservato dai ricercatori a partire da maggio 2026 e sembra costruito per colpire utenti macOS in modo mirato e credibile.
Il malware crea anche un LaunchAgent chiamato com.apple.crashreporter.helper, un nome che sembra perfettamente compatibile con qualcosa di interno al sistema Apple. Questo lo aiuta ad apparire meno sospetto e a mantenersi attivo.
La distribuzione avviene tramite un installer chiamato “Werkbit Setup”, proveniente da un sito software falso. Il fatto che l’accesso al download sia protetto da un PIN di riunione fa pensare a una campagna non casuale, ma costruita per colpire persone specifiche, magari all’interno di finte collaborazioni, meeting o attività lavorative.
Tradotto: non il classico virus buttato lì a caso, ma un’esca più curata, più credibile e quindi più pericolosa.
Il trucco dell’installer “autenticato”
Uno degli aspetti più delicati riguarda Gatekeeper, il sistema di macOS che controlla se un’app sembra sicura prima di consentirne l’esecuzione.
CrashStealer sfrutta un installer autenticato da Apple. Questo non significa che Apple abbia approvato volontariamente il malware. Significa che gli aggressori sono riusciti a far passare il programma attraverso controlli automatici, abusando del meccanismo di fiducia previsto dal sistema.
È un punto fondamentale: un’app che supera alcuni controlli tecnici non è automaticamente sicura per sempre.
Gatekeeper riduce molti rischi, ma non può sostituire il buon senso dell’utente. Se scarichiamo software da siti sconosciuti, se installiamo programmi ricevuti tramite link strani, se inseriamo la password quando non capiamo bene perché ci viene chiesta, il problema non è più solo tecnico.
Il problema diventa umano.
La falsa richiesta di password
Una volta avviato, CrashStealer mostra una falsa richiesta di password macOS.
È una scena che molti utenti Apple conoscono: apri un’app, compare una finestra che chiede la password amministratore, la inserisci e vai avanti.
Il malware sfrutta proprio questa abitudine.
La richiesta sembra una normale operazione di sistema, ma in realtà serve a ottenere la password dell’utente. Con quella password, CrashStealer può tentare di sbloccare il Portachiavi di macOS, dove sono conservati dati sensibili, credenziali e password.
Questo è il cuore della truffa: l’utente pensa di autorizzare un’operazione legittima, mentre sta consegnando le chiavi di casa.
Cosa può rubare
CrashStealer è progettato per raccogliere dati da più fonti.
Può colpire browser, cookie, credenziali salvate, estensioni legate a portafogli crypto, dati dei password manager e informazioni presenti nelle cartelle dell’utente.
I dati raccolti vengono poi inseriti in pacchetti crittografati e inviati a un server controllato dagli aggressori.
In parole semplici: se il malware riesce a entrare, non cerca solo “una password”. Prova a svuotare tutto quello che può essere utile: accessi, sessioni attive, informazioni finanziarie, dati personali, wallet e segreti conservati sul Mac.
I segnali d’allarme
Ci sono alcuni segnali che devono far scattare subito il dubbio.
Un sito sconosciuto ti chiede di scaricare un presunto componente Apple.
Un installer è accessibile solo tramite PIN ricevuto in una chat, email o riunione.
Il programma si chiama CrashReporter, ma non arriva da Apple.
Subito dopo l’apertura dell’app compare una richiesta di password amministratore.
L’app dice di essere un componente di sistema, ma l’hai scaricata da un sito esterno.
Ti viene chiesto di installare software per partecipare a un meeting, una collaborazione o una verifica tecnica.
Questi elementi, soprattutto se combinati, non vanno ignorati.
Come proteggersi
La prima regola è semplice: non scaricare mai CrashReporter da internet.
Gli strumenti di reportistica crash di Apple fanno già parte di macOS. Non serve installare un’app esterna chiamata CrashReporter, soprattutto se arriva da un sito sconosciuto.
La seconda regola riguarda gli installer protetti da PIN. Se qualcuno ti manda un link e ti dice di inserire un codice per scaricare o avviare un software, verifica sempre attraverso un canale separato. Non rispondere nella stessa chat. Non fidarti del link solo perché sembra collegato a una riunione o a un lavoro urgente.
La terza regola riguarda la password del Mac. Se una nuova app, appena avviata, ti chiede subito la password di amministratore, fermati. Chiediti perché. Chiediti chi ha prodotto quell’app. Chiediti da dove l’hai scaricata.
La quarta regola è mantenere macOS aggiornato e usare un software di sicurezza affidabile, compatibile con Mac. Il fatto che macOS sia generalmente più controllato non significa che sia immune dagli infostealer.
La quinta regola è separare i rischi. Se possibile, non tenere sullo stesso profilo utente browser pieni di sessioni attive, password manager, wallet crypto, documenti riservati e credenziali di lavoro. Più cose sensibili sono concentrate nello stesso ambiente, più danni può fare un malware se riesce a entrare.
Cosa fare se hai installato qualcosa di sospetto
Se hai scaricato un presunto CrashReporter o un installer simile da un sito non ufficiale, non inserire altre password.
Disconnetti il Mac da internet.
Controlla le app installate di recente.
Verifica eventuali LaunchAgent sospetti.
Cambia le password principali da un dispositivo sicuro.
Controlla accessi bancari, account email, cloud, password manager e wallet crypto.
Contatta un tecnico qualificato se non sei sicuro di riuscire a rimuovere tutto correttamente.
Se hai inserito la password amministratore in una finestra sospetta, considera il rischio alto.
La regola da ricordare
Il Mac è sicuro solo finché anche l’utente resta attento.
CrashStealer dimostra una cosa molto chiara: oggi i malware non puntano solo a bucare il sistema, puntano a convincerci a collaborare.
Si travestono da strumenti legittimi.
Usano nomi familiari.
Sfruttano installer apparentemente affidabili.
Chiedono password in momenti in cui siamo abituati a inserirle.
E quando lo fanno bene, il problema non è più “Apple o non Apple”.
Il problema è che abbiamo cliccato senza farci domande.
Se un’app sconosciuta ti chiede la password del Mac, non è una formalità: è un allarme.
Scopri altri avvisi e consigli pratici su miocuginohacliccato.com