Os pesquisadores de segurança Talal Haj Bakry e Tommy Mysk descobriram uma vulnerabilidade no macOS a qual permite que apps confiáveis sejam substituídos por softwares maliciosos, mas o seu funcionamento é mais complexo do que parece à primeira vista.

A brecha é iniciada por arquivos de execução de aplicativos baixados pela internet, que são silenciosamente substituídos por malwares (provavelmente compactados no formato .tar). Há, porém, um grande asterisco para que o ataque seja bem sucedido, suficiente para aliviar a preocupação de muitos: ele exige que já exista um acesso prévio a esse Mac para funcionar corretamente.

A execução decorre da ausência de uma segunda verificação do Gatekeeper (sistema de defesa do macOS quanto aos arquivos de um determinado aplicativo), checando a segurança dos apps apenas durante a primeira execução. As modificações até podem condicionar a abertura de uma caixa de diálogo, mas essas permissões são solicitadas em nome do arquivo executável baixado originalmente pelo usuário, o que diminui descrenças sobre a segurança da ação.

CrashStealer: malware para macOS é visto em app aparentemente legítimo

Douglas Nascimento

13/07/2026 • 18:47

A melhor forma de se prevenir é evitar o download de arquivos e executáveis por parte de fontes desconhecidas, inclusive nos casos em que o que foi baixado é associado a um software da sua confiança. A brecha, vale lembrar, não afeta nada baixado pela Mac App Store.

Os pesquisadores relataram o problema à Apple, que optou por encerrar o caso sem resolver a falha.

via AppleInsider

Thijs Xhaflaire (via Ric Ford):

Jamf Threat Labs discovers and investigates CrashStealer, a C++ macOS infostealer that impersonates Apple's crash-reporting framework to harvest browser credentials, cryptocurrency wallets and keychain data, encrypting stolen files with AES-GCM before exfiltrating them to a remote command-and-control server.

[…]

Unlike the payload it eventually installs, the dropper is properly code signed and notarized: it is a universal (arm64 and x86_64) binary signed with the Developer ID Emil Grigorov (WWB7JA7AQV), has hardened runtime enabled, and carries a stapled notarization ticket. Notably, the disk image itself is signed as well, not just the application inside it, which is uncommon in malicious DMG delivery where the container is typically left unsigned.

[…]

That file supplies the curl command the dropper runs next. Staging the first hop on a trusted developer domain keeps the initial network activity inconspicuous.

[…]

[The script] clears extended attributes on the staged bundle with xattr -cr, makes the inner binary executable, strips the payload's existing signature and re-signs it ad-hoc (codesign --remove-signature followed by codesign -s - --force --deep --no-strict), registers it with Launch Services via lsregister -f, and finally launches it in the background with open -g -n.

Previously:

• Notarized Mac App That Downloads Malware
• Fake Mac Apps on GitHub
• Notarized Atomic Stealer (AMOS)
• More Notarized Mac Malware
• App Transport Security

Esqueça os bloqueadores de sites chatos e as notificações que ignora ao fim de dois dias. O Cat Gatekeeper tem uma abordagem diferente, e muito mais fofa, para o doomscrolling. Trata-se de um gato laranja “gorducho” que invade o ecrã e não sai de lá até a pausa acabar.

The post Cat Gatekeeper: a extensão que manda um gato “gorducho” invadir o seu ecrã quando passa tempo a mais nas redes sociais appeared first on Tek Notícias.