Pertama kali muncul di VirusTotal pada awal Mei 2026, CrashStealer bukan sekadar ancaman di atas kertas. Pemantauan lanjutan Jamf Threat Labs pada awal Juli mengonfirmasi malware pencuri data ini sudah aktif digunakan dalam serangan nyata terhadap pengguna Mac, bukan sekadar sampel uji yang berkeliaran di database analisis.
Yang bikin ancaman ini beda dari infostealer macOS pada umumnya bukan cuma kemampuan penyamarannya. CrashStealer dibangun sepenuhnya dalam bahasa C++, sementara kebanyakan malware sejenis masih mengandalkan AppleScript atau Objective-C. Pilihan teknis yang tidak lazim, dan agaknya bukan kebetulan.
Malware ini menyamar sebagai "CrashReporter.app", lengkap dengan ikon dan metadata yang dibuat semirip mungkin dengan komponen sistem resmi Apple. Jalur masuknya pun cukup rapi: korban diiming-imingi platform meeting bernama Werkbit, lalu mengunduh installer yang sudah ditandatangani dengan Developer ID dan memperoleh notarisasi resmi dari Apple. Artinya, Gatekeeper, penjaga gerbang utama macOS, membiarkannya lolos tanpa curiga.
Begitu dijalankan, aplikasi palsu itu meminta Full Disk Access dengan dalih keperluan administrasi sistem. Muncullah dialog permintaan kata sandi yang tampilannya hampir identik dengan jendela autentikasi asli macOS. Kalau pengguna salah memasukkan kata sandi, prompt tidak langsung menyerah. CrashStealer memvalidasi kredensial secara lokal dan terus menampilkan ulang permintaan hingga kata sandi yang benar akhirnya diberikan. Brutal dalam kesederhanaannya.
Setelah kata sandi administrator berhasil dikantongi, pintu terbuka lebar. Login Keychain, yang menyimpan kata sandi Wi-Fi, sertifikat, token aplikasi, dan kredensial terenkripsi lainnya, langsung disapu. Tidak berhenti di sana. File dari folder Documents dan Downloads ikut diambil. Cookie serta kredensial dari browser berbasis Firefox dan Chromium turut disedot. Data dari sedikitnya 14 aplikasi pengelola kata sandi, termasuk 1Password, LastPass, Bitwarden, Dashlane, NordPass, dan Keeper, pun jadi sasaran. Begitu juga lebih dari 80 ekstensi dompet kripto.
Seluruh hasil curian dienkripsi menggunakan AES-256-GCM lewat framework CommonCrypto milik Apple sendiri, dikemas dalam arsip ZIP tersembunyi, lalu dikirim ke server pelaku. Satu detail teknis lain yang patut dicermati: CrashStealer mampu menyalin dan menandatangani ulang dirinya sendiri untuk mempersulit deteksi. Bak musang yang mengganti bulu setiap kali hampir tertangkap.
Ada satu sinyal yang mengindikasikan operasi ini bukan serangan asal-asalan. Versi awal CrashStealer hanya bisa dipasang menggunakan PIN khusus, sebuah mekanisme yang, kalau data ini bisa dipercaya, mengarah pada serangan bertarget terhadap individu atau kelompok tertentu, bukan penyebaran massal ala phishing biasa.
Apple sudah bergerak setelah menerima laporan dari Jamf. Sertifikat penandatanganan milik aplikasi Werkbit telah dicabut, menutup jalur distribusi yang teridentifikasi. Tapi para peneliti mengingatkan ini bukan akhir cerita. Pelaku bisa mencari jalur baru, dan teknik penyamaran serupa bisa muncul kembali dengan bungkus berbeda. Pertanyaannya, berapa lama sampai versi berikutnya terdeteksi?
Untuk pengguna Mac, ada satu prinsip dasar yang perlu diingat: crash reporter dan diagnostik yang dikirim ke Apple tidak pernah memerlukan kata sandi. Kalau ada aplikasi yang mengklaim sebagai CrashReporter lalu langsung minta autentikasi saat pertama dibuka, itu bukan sistem Apple yang bicara.