La notarisation d’Apple devait rassurer. Elle sert désormais de laissez-passer. Baptisé CrashStealer par les chercheurs, ce nouveau voleur d’informations pour macOS s’appuie sur un dropper dûment notarizé pour franchir Gatekeeper, puis siphonne données de navigation, portefeuilles crypto, mots de passe et fichiers sensibles. La chaîne d’infection tient en deux temps : un installateur d’apparence légitime, validé par Apple, suivi d’une collecte large de tout ce qui traîne en local.
Points clés
- CrashStealer utilise un dropper notarizé par Apple pour contourner Gatekeeper sur macOS
- Il vise navigateurs, gestionnaires de mots de passe, wallets crypto, fichiers locaux et Keychain
- D’autres stealers (PamStealer, MacSync, ClickFix) exploitent la même faille de confiance en 2026
- Un binaire notarizé validé à l’installation n’est pas un gage de sécurité durable
Un dropper signé et notarizé, pratique pour tout le monde
Le tour de force tient à l’étape initiale. CrashStealer utilise un dropper macOS passé par le processus de notarisation d’Apple, ce qui lui permet de franchir Gatekeeper, le mécanisme censé vérifier signature et provenance des apps ouvertes via le Finder. Une fois lancé, le composant principal part en chasse : historique et contenus de navigateurs, données des gestionnaires de mots de passe, wallets crypto, fichiers locaux et trousseau Keychain. Bref, le grand nettoyage.
Le procédé n’a rien d’inédit en 2026. Plusieurs campagnes ont combiné ingénierie sociale, faux installateurs et abus de la confiance accordée aux binaires signés. Jamf a récemment documenté PamStealer, distribué via un faux site imitant l’utilitaire Maccy, qui rejouait les messages de Gatekeeper après avoir extorqué le mot de passe de la victime. Microsoft, de son côté, a détaillé fin juin des campagnes ClickFix sur macOS reposant sur des commandes Terminal saisies à la main par l’utilisateur. Difficile de bloquer un contournement quand la victime tape elle-même les lignes.
Navigateurs, wallets, gestionnaires de mots de passe : le trio gagnant
CrashStealer ne se contente pas d’un seul type de secret. Il vise les données de navigateur, les wallets, les gestionnaires de mots de passe, des fichiers présents sur le système et le trousseau macOS. Une collecte pensée pour rafler à la fois les accès directs aux comptes, les sessions déjà ouvertes et les actifs numériques stockés localement.
Les infostealers pour Mac gagnent du terrain depuis des mois. AV-Comparatives a relevé dans son bilan sécurité macOS 2026 que des familles récentes, dont MacSync Stealer, ont aussi été diffusées via des exécutables signés et notarizés pour endormir les alertes système. D’autres campagnes ciblent directement les utilisateurs crypto, avec de faux utilitaires ou des versions trojanisées d’applications comme Ledger Live.
Ce que ça dit des protections macOS
CrashStealer rappelle une limite bien connue des mécanismes de confiance : un logiciel peut être vérifié à l’installation sans être inoffensif pour autant. Un binaire notarizé n’est pas un brevet de bonne conduite si le code embarqué se met ensuite à collecter identifiants, cookies de session et clés de portefeuille. Les campagnes récentes exploitent précisément cette fenêtre de confiance, avec des installateurs crédibles, des domaines de contrefaçon et des gestes que l’utilisateur exécute de son plein gré.
Les protections d’Apple restent utiles, mais elles ne peuvent rien contre une exécution volontaire. Pour les postes sensibles, les réflexes n’ont pas changé : cantonner l’installation aux catalogues approuvés, surveiller les binaires notarisés inattendus et se méfier de tout installateur qui réclame des accès larges au Keychain, aux navigateurs ou aux dossiers utilisateurs. La notarisation ouvre la porte, elle ne monte pas la garde.
