Поддельный отчёт о сбое Mac просит ваш пароль? Не вводите его

На вашем Mac появляется окно, которое выглядит в точности как системный отчёт о сбое, и оно требует пароль от учётной записи, прежде чем исчезнуть. Не вводите его. В июле 2026 года Jamf Threat Labs опубликовала анализ инфостилера для macOS, которому дала имя CrashStealer: он делает ровно это — выдаёт себя за обычный системный инструмент macOS и собирает пароль, который вы ему отдаёте. Если вы уже ввели свой, переходите сразу к пошаговому плану ниже на этой странице и начинайте работать по нему.

Это не история про экзотическую уязвимость нулевого дня. Никто ничего не взламывал, никакая брешь в безопасности не эксплуатировалась, и никакое обновление этого бы не предотвратило. Вся атака держится на одном: большинство пользователей Mac за годы легитимной работы приучены вводить пароль в любое окно, которое выглядит так, будто пришло от macOS. CrashStealer рисует убедительное окно, а остальное делает сам пользователь.

Именно поэтому эту проблему действительно можно решить знаниями, а не программами. Ниже — две вещи, которых вы не найдёте в большинстве публикаций: практический метод отличить настоящий запрос авторизации macOS от нарисованной приложением подделки и спокойный, упорядоченный план действий на тот момент, когда вы понимаете, что пароль уже ввели. Первый раздел про профилактику. Второй — про минимизацию ущерба в два часа ночи, потому что обычно люди понимают это именно тогда.

Ключевые выводы

• Настоящий отчёт о сбое macOS никогда не просит ваш пароль. Если окно, называющее себя отчётом о сбое, диагностическим инструментом или системным апдейтером, требует пароль от вашей учётной записи, это окно нарисовано приложением, а не macOS.
• Контекст важнее пикселей. Настойчивый злоумышленник способен сделать подделку, неотличимую на скриншоте. Чего он подделать не может — это причину, по которой появляется настоящий запрос: подлинные диалоги авторизации macOS следуют за действием, которое вы только что совершили. Запрос, возникший из ниоткуда, — самый сильный тревожный признак из всех доступных вам.
• Нотаризация — это не аудит безопасности. Jamf Threat Labs сообщила, что приложение, распространявшее CrashStealer, было подписано и нотаризовано действующим Apple Developer ID, поэтому оно и прошло Gatekeeper. Apple с тех пор отозвала сертификат, но отзыв — это уборка, а не профилактика.
• Если вы ввели пароль, считайте, что login Keychain тоже потерян. Jamf сообщила, что вредонос проверяет введённый пароль локально и, если он верный, может использовать его для разблокировки login Keychain и добраться до гораздо большего, чем то, что вы напечатали.
• Порядок восстановления имеет значение. С другого, доверенного устройства: сначала пароль Apple Account, затем мастер-пароль менеджера паролей, затем почта, затем деньги, затем всё остальное. Криптографические seed-фразы считайте сгоревшими.

Что именно сообщила Jamf Threat Labs

Jamf Threat Labs опубликовала свой анализ CrashStealer в середине июля 2026 года, и в последующие дни его подхватили 9to5Mac, MacRumors, Help Net Security, Malwarebytes, Infosecurity Magazine и SecureMac. Стоит отделить то, что было сообщено на самом деле, от того, что с тех пор пересказали в виде более расплывчатых предупреждений.

Доставка: образ диска, который вы не заказывали

Согласно отчёту Jamf, вредонос приходит внутри образа диска с именем Werkbit Setup. Жертва монтирует DMG и устанавливает то, что считает искомой программой. На этом этапе ничего не выглядит тревожно, потому что на этом этапе ничто ничего необычного не запрашивает.

Важная деталь здесь — несовпадение. Вы искали одно, а образ диска, оказавшийся в папке Downloads, называется иначе. Этот разрыв — один из немногих надёжных сигналов, доступных до того, как что-либо запустится, и вокруг него стоит выстроить привычку: прочитайте имя образа диска в боковой панели Finder, прежде чем что-то из него вытаскивать.

Приманка: приложение, называющее себя CrashReporter

После установки, как сообщила Jamf, вредоносное приложение представляется как CrashReporter.app, заимствуя и имя, и общий вид обычного системного компонента macOS. Затем оно показывает запрос пароля, оформленный под легитимный системный диалог macOS.

Это удачная маскировка по вполне конкретной причине. Отчёты о сбоях — одна из немногих вещей, которые macOS действительно показывает без вашего запроса. Приложения падают, macOS действительно предлагает отправить отчёт, и большинство пользователей закрывали этот диалог десятки раз, не вчитываясь. Вредонос заимствует эту привычность. Он появляется в момент, когда неожиданное системное окно не покажется странным, и просит то единственное, чего настоящий диалог никогда не просит.

Что происходит, когда вы вводите пароль

Именно эта часть делает CrashStealer хуже обычного фишингового окна. Jamf сообщила, что вредонос проверяет введённый пароль локально, и, если пароль верный, может использовать его для разблокировки login Keychain.

Подумайте, что это значит на практике. Введённый вами пароль сам по себе не приз. Это ключ к контейнеру, в котором лежит всё остальное. Ваш login Keychain — это место, где macOS хранит пароли Wi-Fi, учётные данные приложений, сертификаты, защищённые заметки, а у многих людей ещё и длинный хвост сохранённых логинов с сайтов. Его разблокировка превращает одну украденную строку в полный дамп учётных данных.

Заявленные цели этому соответствуют: учётные данные, сохранённые в браузерах, данные менеджеров паролей, данные криптовалютных кошельков, включая браузерные расширения-кошельки, и содержимое login Keychain. Если вы когда-нибудь задумывались, почему мы постоянно пишем, что пароль от Mac — это не просто блокировка экрана, вот почему. Он находится в корне дерева учётных данных. Наше руководство о том, почему macOS постоянно запрашивает пароль login Keychain, объясняет, насколько тесно эта связка ключей привязана к паролю вашей учётной записи в обычных, не вредоносных обстоятельствах.

Две технические детали, о которых стоит знать

Jamf выделила две характеристики, важные для защищающихся, даже если вы никогда не открывали дизассемблер.

Во-первых, CrashStealer написан на нативном C++. Многие Mac-стилеры последних лет сильно полагались на AppleScript, который сравнительно легко исследовать, легко ловить средствами безопасности по шаблонам и легко ограничивать самой macOS через разрешения автоматизации. Нативный бинарник обходит целую категорию детектирования, на которую экосистема привыкла опираться. Практический вывод для обычного пользователя: эвристики вроде «вредоносные приложения запрашивают разрешения на автоматизацию» — это не правило, на которое можно полагаться.

Во-вторых, и это важнее, распространяющее приложение было подписано и нотаризовано действующим Apple Developer ID. Именно поэтому Gatekeeper пропустил его без того трения, которое большинство людей связывает с недоверенным ПО. Мы вернёмся к этому, потому что фраза «но ведь оно нотаризовано» выполняет слишком много незаслуженной работы в моделях угроз многих людей.

Хронология

По данным Jamf, более ранние образцы, выглядевшие незавершёнными или ещё находившимися в разработке, появились примерно в мае 2026 года. Рабочие версии в дикой природе были обнаружены в начале июля 2026 года, а публичный анализ последовал примерно 13–15 июля.

Этот двухмесячный разрыв между полусобранными образцами и рабочим развёртыванием — нормальное явление, и это причина не считать ни один отдельно взятый опубликованный анализ концом истории. Стилеры дорабатывают. Имя образа диска, имя приложения и точные формулировки запроса — самые расходуемые части этой операции. Долговечная часть — техника, и именно её стоит выучить.

Главная мысль: запрос пароля — это утверждение, а не доказательство

Перед всеми чек-листами — одна идея, которая делает их все проще для запоминания.

Когда на экране появляется окно, запрашивающее ваш пароль, это окно делает утверждение о том, кто оно такое. Оно утверждает, что оно — macOS. Ничто во внешнем виде окна не может это утверждение подтвердить, потому что любое приложение, имеющее право рисовать на вашем экране, может нарисовать что угодно, включая идеальную копию системного диалога. Шрифты, отступы, иконка замка, точный оттенок фонового материала, расположение кнопок, маленькая иконка приложения в углу — всё это просто пиксели, и всё это можно скопировать.

Поэтому вопрос никогда не звучит как «выглядит ли это настоящим?». Вопрос звучит так: «есть ли причина, по которой настоящий запрос оказался бы здесь?»

Именно на этой переформулировке строится всё остальное в этой статье. Визуальная проверка по-прежнему полезна, и ниже есть конкретные проверки, которые действительно ловят небрежные подделки. Но визуальная проверка — это фильтр, а не приговор. Приговор выносит контекст.

Визуальная криминалистика: настоящий запрос macOS против подделки, нарисованной приложением

Вот что вы реально можете проверить, примерно в порядке того, какого веса заслуживает каждая проверка.

1. Совершали ли вы действие, требующее авторизации?

Это самая ценная проверка с большим отрывом, и она ничего не стоит.

Подлинные запросы авторизации macOS — это следствия. Вы что-то установили. Вы изменили настройку в System Settings, помеченную замком. Вы одобрили системное расширение. Вы выполнили команду, требующую повышенных привилегий. Вы разблокировали элемент Keychain. Вы изменили сетевую конфигурацию. В каждом из этих случаев вы за секунду-другую до этого совершили осознанное действие, и запрос это действие называет.

macOS в нормальной работе не решает сама по себе спросить ваш пароль, пока вы читаете веб-страницу или смотрите видео. Если запрос пароля появился, а вы не можете назвать то действие, которое его вызвало, считайте его враждебным, пока не доказано обратное. Не «наверное, всё нормально». Враждебным.

Следствие из этого неприятно, но верно: злоумышленник, который об этом знает, попытается приурочить поддельный запрос к тому, что вы сделали, — чаще всего к моменту сразу после установки его приложения. Запрос, появившийся немедленно после того, как вы открыли только что скачанную программу, — это не успокаивающий контекст. Именно в этот момент появляется запрос CrashStealer.

2. Имеет ли спрашивающий вообще право спрашивать?

Некоторые системные компоненты запрашивают ваш пароль регулярно. Некоторые — никогда.

Отчёт о сбоях macOS твёрдо относится к категории «никогда». Когда приложение падает, настоящий диалог сообщает, что программа неожиданно завершила работу, и предлагает открыть её заново, проигнорировать или отправить отчёт в Apple. Ему не нужен ваш пароль, потому что отправка журнала сбоя в Apple не требует прав администратора. Не существует конфигурации, в которой подлинный отчёт о сбоях просит вас аутентифицироваться.

То же самое относится к большинству вещей, которые просто показывают вам информацию. Окно, сообщающее о падении приложения, уведомление о доступном обновлении, диалог о документе, который не удалось сохранить, сообщение об отключённом диске — ни у одного из них нет законной причины требовать пароль от вашей учётной записи. Если информационное сообщение внезапно превращается в запрос аутентификации, что-то не так с этим окном, а не с вашим Mac.

Категории, которые действительно запрашивают пароль: установка ПО, пишущего за пределы вашей домашней папки, разблокировка панелей с замком в System Settings, одобрение расширений ядра или системных расширений, изменение настроек FileVault или Startup Security и доступ Keychain к конкретным сохранённым элементам. Если окно перед вами не делает ничего из перечисленного, оно не должно ничего спрашивать.

3. Выясните, какое приложение на самом деле спрашивает

Поддельный запрос принадлежит какому-то процессу. Вы можете найти этот процесс, пока запрос ещё на экране.

Проверьте строку меню. Переведите указатель к верхней части экрана. Имя приложения рядом с меню Apple говорит, какое приложение сейчас активно. Если открыто окно, называющее себя системным диалогом, а в строке меню значится имя какой-то программы, которую вы только что скачали, — ответ у вас есть.

Попробуйте Command-Tab. Если вы можете переключиться с запроса и он уходит за другое окно, как любое обычное окно приложения, значит, он принадлежит приложению. Некоторые подлинные системные диалоги плавают поверх всего; нарисованная приложением подделка часто так не делает, а те, что делают, выдают себя другими способами.

Откройте Force Quit. Нажмите Command-Option-Escape. Окно Force Quit перечисляет запущенные приложения по именам. Ищите всё, что вы не узнаёте, всё, что появилось в списке одновременно с запросом, или всё, чьё имя подозрительно похоже на системный компонент. Завершение приложения-нарушителя обычно заставляет запрос исчезнуть, что само по себе и есть искомое подтверждение.

Откройте Activity Monitor. Applications > Utilities > Activity Monitor даёт вам более длинный список, включая фоновые процессы. Отсортируйте по CPU или по имени процесса и поищите недавних новичков. Это больше работы, чем Force Quit, и больше поводов для ложной тревоги, поскольку macOS законно запускает множество странно названных фоновых процессов, но именно сюда вы смотрите, когда Force Quit ничего не показал.

Честное ограничение: хорошо сделанная подделка может назвать свой процесс чем-то безобидным, и вы не обязательно опознаете вредоносное имя среди сотни легитимных. Эта проверка надёжно ловит ленивые подделки и иногда — изощрённые.

4. Тест перетаскиванием

Этот приём действительно полезен, и работает он в одну сторону.

Попробуйте перетащить окно запроса по экрану. Толкните его к дальнему краю или на второй дисплей, если он у вас есть. Настоящий системный диалог — это собственное окно, и его можно переместить в любую точку рабочего стола. Подделка, нарисованная внутри другого окна — а это обычное дело, когда подделка живёт в веб-странице, приложении на Electron или полноэкранном представлении, — не может выйти за границы родительского окна. Если запрос обрезается, отскакивает назад или отказывается выходить за пределы прямоугольника, соответствующего окну какого-то другого приложения, — это подделка. Точка.

Односторонняя часть: если запрос действительно свободно перетаскивается по всему экрану, это ничего не доказывает. Нативное приложение может создать безрамочное плавающее окно, которое двигается точно как системный диалог. Пройденный тест перетаскиванием — не справка о здоровье. Проваленный — обвинительный приговор.

Родственный вариант: попробуйте изменить размер окна или поищите окно, которое едва заметно не того размера для своего содержимого. Подделки, построенные на веб-представлении, иногда странно масштабируются при смене разрешения экрана или при переходе между дисплеями с разным масштабированием.

5. Используйте Touch ID вместо ввода пароля

Если на вашем Mac есть Touch ID и вас просят аутентифицироваться для действия, которое вы действительно инициировали, используйте датчик отпечатка, а не клавиатуру.

Дело не в том, что Touch ID невозможно визуально имитировать. Приложение может показать запрос, стилизованный под Touch ID. Причина, по которой это помогает, более прямая: аутентификация по отпечатку не отдаёт ваш пароль приложению. Настоящая аутентификация Touch ID происходит через Secure Enclave и возвращает запрашивающему процессу ответ «да» или «нет». Пароль нигде не набирается, значит, его нечего перехватывать. Если окно поддельное, вы отдали ему скан отпечатка, который оно не может превратить в учётные данные.

Здесь есть и второй сигнал. Если вы выполняете действие, которое обычно предлагает вам Touch ID на вашем Mac, а конкретно этот запрос настаивает на вводе пароля без варианта с Touch ID, спросите себя почему. Некоторые подлинные запросы действительно требуют набранного пароля, так что это скорее жёлтый флаг, чем красный, но в сочетании с остальными проверками он добавляет веса.

6. Нажмите Escape и посмотрите, что будет

Нажмите Escape или щёлкните Cancel. Затем наблюдайте.

Подлинный запрос авторизации отменяется чисто, и выполняемое действие завершается неудачей понятным образом. Вы пытались разблокировать панель настроек — панель остаётся заблокированной. Вы пытались что-то установить — установщик сообщает, что не может продолжить.

Подделка обычно донимает. Она появляется снова через несколько секунд, или каждый раз при клике по рабочему столу, или при следующем входе в систему, или вообще никогда до конца не исчезает. Настойчивость в ответ на отмену — сильный признак, потому что вся ценность вредоноса зависит от того, получит ли он в итоге ваш пароль. Он создан, чтобы продолжать спрашивать. Настоящие системные диалоги — нет.

У этой проверки есть цена: вам нужно ждать, чтобы увидеть, вернётся ли запрос, а всё это время вы сидите перед Mac, на котором, возможно, активно работает то, чего вы не хотите. Пользуйтесь ею, но не вместо отключения от сети.

7. Читайте текст, но придавайте ему малый вес

Небрежные подделки допускают ошибки. Общие формулировки там, где macOS назвала бы конкретное приложение или конкретное действие. Слегка неправильные заглавные буквы. Номер версии или название продукта, не совпадающие с тем, что у вас установлено. Грамматика, читающаяся как перевод. Подписи кнопок в неверном для соглашений macOS порядке. Иконка, представляющая собой слегка устаревшую версию текущей системной иконки.

Всё это стоит замечать, и ни на что из этого не стоит полагаться. Типографика системного диалога — решённая задача для злоумышленника со скриншотом и свободным вечером. Считайте текстовые странности поводом перейти к другим проверкам, но никогда — последней линией обороны.

Будем честны о потолке визуальной проверки

Любую проверку выше можно обойти при достаточной аккуратности злоумышленника. Нативная, хорошо сделанная подделка, которая появляется в правдоподобный момент, свободно перетаскивается, использует корректные формулировки и исчезает при отмене, прошла бы все визуальные тесты из этой статьи.

Это не повод пропускать проверки. Это повод понимать, для чего они. Они ловят большинство реальных подделок, которые делаются не с бесконечной тщательностью. Но слой под ними, тот, что не зависит от мастерства злоумышленника, — поведенческий.

Поведенческие правила, не зависящие от мастерства подделки

Это правила, которые работают, даже когда подделка идеальна.

Правило 1: никогда не вводите пароль в запрос, который вы не вызвали. Если вы не можете назвать действие, ставшее его причиной, ответ — нет. Не «дайте-ка я присмотрюсь повнимательнее». Нет.

Правило 2: при сомнениях отмените и инициируйте действие заново, осознанно. Если вам действительно нужно что-то авторизовать, закройте запрос, завершите приложение и начните действие сами из места, которому доверяете. Откройте System Settings самостоятельно и щёлкните по замку. Запустите установщик сами из Finder. Если запрос затем появляется как прямой результат того, на что вы только что нажали, он гораздо вероятнее настоящий, потому что контекст создали вы, а не приняли готовый.

Правило 3: запрос, появляющийся сразу после установки чего-либо, — самый рискованный из всех. Именно там живёт CrashStealer. Новое ПО, запрашивающее пароль администратора, может быть законным, но это же и точная форма атаки. Если программа — то, что вы только что скачали с сайта, которым раньше не пользовались, остановитесь и подумайте ещё раз, что именно вы устанавливаете, прежде чем аутентифицироваться.

Правило 4: предпочитайте Touch ID всегда, когда он предлагается. Он превращает «я отдал им свой пароль» в «я не отдал им ничего».

Правило 5: если что-то кажется неправильным, сначала отключайтесь, потом думайте. Выключение Wi-Fi не стоит вам ничего и занимает две секунды. Это самое дешёвое из возможных действий, и именно оно останавливает утечку данных.

Если вы уже ввели пароль: план действий после компрометации

Этот раздел исходит из худшего сценария: вы ввели пароль от учётной записи в запрос, который теперь считаете поддельным. Вы, вероятно, находитесь где-то между раздражением и настоящим испугом. Работайте по порядку. План построен так, чтобы самые результативные действия шли первыми и чтобы ничто здесь не требовало от вас принимать решения под стрессом.

Две рамки перед шагами.

Во-первых, считайте, что данные уже утекли. Инфостилеры создаются ради скорости: они собирают и отправляют. Не тратьте первые десять минут на попытки установить, ушли ли данные. Потратьте их исходя из того, что ушли.

Во-вторых, считайте, что login Keychain скомпрометирован. Jamf сообщила, что верный пароль позволяет CrashStealer его разблокировать. Это значит, что масштаб инцидента — не «один пароль». Это «каждая учётная запись, которую этот пароль защищал».

Шаг 1. Отключите Mac от сети. Прямо сейчас

Выключите Wi-Fi из строки меню. Если вы на Ethernet, выдерните кабель. Если хотите действовать основательно, включите изоляцию наподобие авиарежима, отключив и Wi-Fi, и Bluetooth.

Это даёт две вещи: останавливает дальнейшую отправку данных, которые вредонос собрал, но ещё не передал, и обрывает канал удалённых команд. Это не отменяет того, что уже ушло, и не заменяет смену учётных данных ниже, но это бесплатно, мгновенно и ограничивает ущерб.

Пока не выключайте Mac. Вам вскоре понадобится его осмотреть, а работающую систему исследовать проще, чем ту, в которую нужно загружаться заново. Если вы не собираетесь ничего осматривать и планируете сразу перейти к полному стиранию, выключение допустимо.

Шаг 2. Прекратите вводить учётные данные на этой машине

Это правило на ближайшие несколько часов, и именно его люди нарушают, не замечая.

Не заходите в почту на этом Mac, чтобы проверить подозрительную активность. Не открывайте на нём менеджер паролей, чтобы сменить пароли. Не входите на нём в банк, чтобы посмотреть транзакции. Каждый пароль, который вы вводите на машине, считающейся скомпрометированной, — это пароль, который вы отдаёте во второй раз. Инстинкт немедленно всё проверить очень силён, и он ровно противоположен правильному.

Относитесь к этому Mac как к месту преступления, доступному только для чтения, пока не решите, что с ним делать.

Шаг 3. Перейдите на другое, доверенное устройство

Используйте телефон, планшет, другой компьютер или машину члена семьи. Вам нужно устройство, не вовлечённое в этот инцидент.

Одна оговорка: если ваш телефон подключён к тем же учётным записям и на нём есть синхронизированный менеджер паролей, телефон всё равно остаётся пригодным устройством для восстановления, потому что скомпрометированы были учётные данные, а не сам телефон. Но если у вас есть хоть какие-то основания думать, что тот же вредоносный установщик коснулся более чем одной машины, возьмите что-то другое.

Шаг 4. Первым делом смените пароль Apple Account

Сделайте это раньше всего остального, с доверенного устройства.

Ваш Apple Account — корень дерева. Он контролирует iCloud Keychain, Find My, резервные копии iCloud, авторизацию устройств, покупки и во многих случаях путь восстановления для других учётных записей. Если злоумышленник получит его, он сможет добраться до вещей, которые вы вообще никогда не хранили на скомпрометированном Mac.

На iPhone или iPad: Settings > ваше имя > Sign-In & Security > Change Password. В вебе: appleid.apple.com. Пока вы там, просмотрите список доверенных устройств и удалите всё, чего не узнаёте или чем больше не пользуетесь.

Выберите пароль, который вы никогда нигде не использовали, и не повторяйте шаблон старого.

Шаг 5. Вторым смените мастер-пароль менеджера паролей

Если вы пользуетесь 1Password, Bitwarden, Dashlane, KeePass или чем-то подобным, его мастер-пароль — второй корень. Jamf сообщила, что данные менеджеров паролей входят в число целей CrashStealer, поэтому считайте хранилище раскрытым.

С доверенного устройства смените мастер-пароль, затем найдите элемент управления вида «выйти на всех устройствах» или «деавторизовать все сессии» и воспользуйтесь им. Многие менеджеры паролей также предлагают понятие секретного ключа или ключа аккаунта; если ваш поддерживает его ротацию, сделайте и это.

Если ваш менеджер паролей был разблокирован на этом Mac в момент атаки или его данные кэшировались локально, считайте, что содержимое хранилища известно злоумышленнику. Это скверное ощущение, но оно же даёт вам точный список дел: всё, что лежит в хранилище, нужно сменить. Расставляйте приоритеты по следующим шагам.

Шаг 6. Меняйте почту, затем деньги, затем всё остальное

Порядок не случаен. Он следует радиусу поражения.

Сначала почта. Кто контролирует вашу почту, тот может сбросить большинство остальных ваших учётных записей. Смените пароль на каждом почтовом ящике, которым владеете, начиная с того, куда приходят письма о сбросе пароля. Затем в настройках безопасности каждой учётной записи найдите список активных сессий или авторизованных устройств и отзовите всё, чего не узнаёте. Также проверьте правила пересылки и фильтры, которые вы не создавали: типичный ход после компрометации — тихо пересылать или автоматически архивировать уведомления безопасности, чтобы вы никогда не увидели предупреждений.

Затем деньги. Банки, брокеры, платёжные приложения, всё, где сохранена карта. Смените пароли, потом проверьте недавнюю активность, потом позвоните в организацию, если что-то выглядит не так. Многие банки отметят инцидент в вашем профиле и на какое-то время усилят контроль, если вы им сообщите.

Потом всё остальное. Рабочие учётные записи, облачные хранилища, соцсети, магазины, платформы для разработчиков, регистраторы доменов, VPS-провайдеры, всё, где есть API-ключ. Регистраторы доменов и облачные консоли заслуживают места повыше в этом списке, чем им обычно отводят, потому что контроль над доменом или облачным аккаунтом — это длинный рычаг для атаки на всё, что ниже по цепочке.

Не пытайтесь сделать всё это за один присест. Почту и деньги сделайте сейчас, сегодня вечером. Длинный хвост — в течение следующих нескольких дней, работая по списку из менеджера паролей.

Шаг 7. Отзовите сессии и устройства везде

Смена пароля не всегда убивает существующую сессию. Многие сервисы спокойно оставят уже аутентифицированную сессию живой после смены пароля, если вы явно её не завершите.

Для каждой важной учётной записи найдите страницу безопасности со списком активных сессий, вошедших устройств или подключённых приложений и очистите его. Google, Microsoft, Apple, GitHub, Slack, Discord и большинство крупных сервисов это предлагают. Также отзовите авторизации сторонних приложений, которых не узнаёте, потому что токены OAuth — механизм закрепления, переживающий смену пароля.

Раз уж вы там, проверьте сессии синхронизации браузера. Если профиль браузера синхронизировался со скомпрометированной машиной, выход из всех сессий синхронизации и её повторная настройка с чистого устройства стоят этого неудобства.

Шаг 8. Считайте криптографические seed-фразы скомпрометированными

Если вы держали криптовалюту в программном кошельке или браузерном расширении-кошельке на этом Mac, здесь дедлайн измеряется минутами, а не днями.

Jamf сообщила, что данные криптовалютных кошельков входят в число целей CrashStealer, включая браузерные расширения-кошельки. Считайте, что любая seed-фраза, приватный ключ или файл кошелька, существовавшие на этой машине, теперь известны.

Действие здесь не «сменить пароль кошелька». Пароли кошелька защищают локальный файл; seed-фраза и есть аккаунт. Если seed утёк, средства доступны из любой точки мира независимо от того, что вы делаете на своём Mac.

С чистого устройства создайте новый кошелёк с новой seed-фразой и переведите средства туда. Аппаратный кошелёк с seed, сгенерированной на самом устройстве, — правильный адресат, если он у вас есть или вы можете его достать. Не вводите старую seed-фразу ни на одном устройстве, чтобы её «обезопасить»; там уже нечего обезопашивать. Не вводите её ни в какой инструмент или на сайт, предлагающий проверить, не скомпрометирована ли она, — это само по себе распространённая мошенническая схема.

Если вы когда-либо хранили seed-фразу в заметке, скриншоте, текстовом файле или менеджере паролей на этом Mac, всё вышесказанное применимо и к ней. Это хороший момент, чтобы пересмотреть такой способ хранения на будущее.

Шаг 9. Включите двухфакторную аутентификацию везде, где она поддерживается

Если вы уже использовали 2FA на почте и финансовых счетах, этот инцидент значительно менее тяжёлый, чем мог бы быть, потому что одного украденного пароля недостаточно, чтобы открыть эти двери.

Если не использовали, включайте её сейчас, по мере смены каждого пароля. Предпочитайте приложение-аутентификатор или аппаратный ключ безопасности вместо SMS. SMS-2FA ощутимо лучше, чем ничего, и ощутимо хуже альтернатив, потому что атаки с подменой SIM — зрелая индустрия.

Одна оговорка специально для этого сценария: если резервная копия вашего приложения-аутентификатора хранилась в облачной учётной записи, чей пароль лежал в скомпрометированной связке ключей, перерегистрируйте 2FA, а не считайте существующую настройку безопасной.

Шаг 10. Теперь осмотрите сам Mac

Пока учётные данные меняются с чистого устройства, вернитесь к машине. Держите её отключённой от сети, пока смотрите.

Объекты входа и фоновые элементы. Откройте System Settings > General > Login Items & Extensions. Здесь стоит прочитать два списка: приложения, открывающиеся при входе, и фоновые элементы, которым разрешено работать. Второй список интереснее, потому что он называет разработчика, отвечающего за каждый фоновый агент. Всё, чему вы не можете найти объяснения, стоит расследовать. Учтите, что легитимное ПО тоже создаёт здесь записи, поэтому не удаляйте всё рефлекторно; прежде чем действовать, поищите имя разработчика.

Профили конфигурации. Откройте System Settings > General > Device Management. На личном Mac, не подключённом к работодателю или учебному заведению, эта панель обычно вообще не появляется. Если она появляется и перечисляет профиль, который вы не устанавливали, — это серьёзная находка. Профили конфигурации могут менять настройки DNS, устанавливать сертификаты и применять политики, и они любимый механизм закрепления именно потому, что большинство пользователей сюда никогда не заглядывает.

Папка Applications, отсортированная по дате. В Finder откройте Applications и переключитесь в режим списка с сортировкой по Date Added или Date Modified. Всё, что появилось примерно во время инцидента, заслуживает внимания. Сделайте то же самое для пользовательской папки Applications, если она у вас есть.

Расширения браузера. Откройте страницу расширений каждого браузера и удалите всё, что вы не устанавливали намеренно. Обратите особое внимание на расширения-кошельки, напрямую относящиеся к делу, и на всё, что имеет широкие права на чтение данных на всех сайтах.

Недавние загрузки. Просмотрите папку Downloads в поисках образа диска или установщика, с которого всё началось. Не открывайте его снова. Знание имени файла поможет вам узнать ту же приманку, если она появится опять.

Если вы что-то нашли и удалили, не делайте вывод, что вы чисты. Удаление найденного фрагмента ничего не говорит о фрагментах, которых вы не нашли.

Шаг 11. Решите, стирать ли систему и переустанавливать ли её

Вот честный ответ без уклончивости: если вы ввели пароль от учётной записи в поддельный системный запрос, правильное решение — стереть и переустановить.

Причина не в том, что удаление невозможно. Причина в том, что невозможна проверка. Вы не можете доказать отрицание на машине, где выполнялся неизвестный нативный бинарник, имея на руках ваш пароль администратора. Ручная очистка приводит вас к «я больше ничего не нашёл», а это не то же самое, что «больше ничего нет». Для машины, на которой лежат ваша работа, ваша почта и ваши деньги, эта разница важна.

Случаи, когда стирание можно разумно пропустить: вы увидели запрос, ничего не ввели, завершили приложение и удалили его, и с тех пор ничто не вело себя странно. Случаи, когда стирать точно нужно: вы ввели пароль; или вы не можете восстановить, что именно установили; или вы нашли механизмы закрепления, которых не понимаете; или у машины есть доступ к чему-либо, за что вы отвечаете от имени других людей.

Как сделать это правильно на современном Mac:

1. Сначала завершите смену учётных данных с чистого устройства. Не стирайте, пока не взяли учётные записи под контроль, потому что стирание не чинит ваши аккаунты.
2. Сохраните резервную копию документов, а не приложений и не полного образа системы. Скопируйте нужные файлы на внешний диск. Фотографии, документы, проекты, исходный код, всё, что вы создали.
3. Используйте Erase All Content and Settings (System Settings > General > Transfer or Reset) на Mac с Apple silicon и T2 или переустановите систему из macOS Recovery.
4. Настройте Mac как новый. Не восстанавливайтесь из резервной копии Time Machine, сделанной после заражения, и не используйте Migration Assistant, чтобы перетащить приложения и системные настройки из скомпрометированного состояния. Именно так люди повторно заражаются и делают вывод, что вредонос неудаляем.
5. Переустановите приложения из Mac App Store или с официальных сайтов каждого разработчика, заново.
6. Скопируйте документы обратно с внешнего диска.
7. Войдите заново и перерегистрируйте двухфакторную аутентификацию.

Да, это потерянный вечер. Это потерянный вечер, который заканчивается машиной, которой вы действительно можете доверять, а это стоит больше вечера.

Почему нотаризация здесь никого не спасла

Самое поучительное в этом случае то, что всё сработало как задумано, а пользователь всё равно пострадал.

Что такое нотаризация на самом деле

Когда разработчик распространяет Mac-приложение вне App Store, он отправляет его в нотариальную службу Apple. Apple выполняет автоматическую проверку: сканирует на известное вредоносное содержимое, проверяет подпись кода, убеждается, что приложение подписано действующим Developer ID, и подтверждает набор требований к усилению защиты. Если проверка пройдена, Apple выдаёт тикет, который прикрепляется к приложению.

Перечитайте этот список и обратите внимание на то, чего в нём нет. Нет живого рецензента. Нет поведенческого анализа того, что приложение делает, когда пользователь его запускает. Нет суждения о том, честна ли цель приложения. Нотаризация отвечает на узкий вопрос: содержит ли этот бинарник что-то, что мы уже распознаём как вредоносное, и правильно ли он подписан идентифицируемым разработчиком?

Приложение, которое рисует убедительное окно ввода пароля и отправляет захваченное, не содержит «известного вредоносного содержимого» в том смысле, который ищет сканер, особенно если это новый нативный бинарник. Оно проходит насквозь.

Что Gatekeeper обещает и чего не обещает

Gatekeeper — это уровень принуждения на вашем Mac. Когда вы открываете скачанное приложение, Gatekeeper проверяет, подписано ли оно и нотаризовано ли, и действителен ли нотариальный тикет. Если да, приложение открывается почти без трения. Если нет, вы получаете предупреждения и блокировки, хорошо знакомые пользователям Mac, включая сообщение о том, что приложение повреждено и не может быть открыто, которое мы разбираем в нашем руководстве по устранению проблем с Gatekeeper и карантином.

Gatekeeper обещает подотчётность, а не безопасность. Он говорит вам: это ПО от разработчика, который зарегистрировался у Apple, заплатил за Developer ID, и чей бинарник был просканирован. Это значит, что, если оно окажется вредоносным, Apple знает, чей сертификат отзывать. Это не значит, что Apple оценила, заслуживает ли приложение вашего доверия.

Разрыв между этими двумя вещами — это и есть место, где живёт вся эта категория атак. И он не нов: мы писали о том же самом шаблоне в декабре 2025 года, когда MacSync Stealer использовал действующую нотаризацию Apple для обхода Gatekeeper. Урок не усвоился, потому что «нотаризовано» большинство людей по-прежнему читают как «одобрено».

Отзыв сертификата — это уборка, а не защита

Apple отозвала сертификат, задействованный в CrashStealer. Это правильная реакция, и она делает реальную работу: на Mac, которые проверяют отзыв, приложение больше не запустится, и тот же сертификат нельзя использовать для подписи следующей сборки.

Но отзыв происходит после анализа, который происходит после заражений. Все, кто пострадал в промежутке между развёртыванием в начале июля и отзывом, не получили от него никакой пользы. Отзыв сертификата — это память иммунной системы, а не её барьер. При этом получение свежего Developer ID — решаемая задача для мотивированного оператора, поэтому тот же шаблон повторяется снова и снова с разными сертификатами.

Практический вывод для вас: пользуйтесь Gatekeeper, держите его включённым, никогда не отключайте его, чтобы запустить то, ради чего вам сказали его отключить. И не позволяйте ему быть причиной, по которой вы доверяете приложению. Вопрос «подписано ли оно?» гораздо менее важен, чем «получил ли я это от разработчика или из результатов поиска?».

Откуда берутся такие установщики

На практике вредоносные образы дисков попадают к пользователям через небольшое число каналов, и все они эксплуатируют один и тот же момент: вы решили, что хотите какую-то программу, и ищете, откуда её скачать.

Поисковая реклама. Кто-то ищет известное приложение и кликает по первому результату, который оказывается платным объявлением, ведущим на сайт-двойник. Текст объявления правильный, посадочная страница — хороший клон, кнопка загрузки работает. Это самый массовый канал с большим отрывом, и он работает потому, что верхняя часть страницы результатов поиска ощущается авторитетной.

Сайты-двойники для скачивания. Домены, отличающиеся одним символом, или добавляющие правдоподобное слово, или использующие другой TLD. А также вся экосистема «порталов загрузок», оборачивающих настоящее ПО в собственные установщики. Даже когда такие сайты не распространяют вредоносов, они распространяют изменённые установщики, а это привычка, которая вам не нужна.

Ссылки, которые подсовывают в чатах и на форумах. Сервер Discord, группа в Telegram, тред на Reddit, комментарий на форуме поддержки. Кто-то услужливо публикует зеркало. Иногда это действительно человек, желающий помочь, а иногда нет, и по сообщению вы этого не отличите.

Взломанные и «бесплатные» версии платных программ. Тут всё говорит само за себя, и это остаётся одним из самых надёжных способов заполучить стилер.

Защита во всех четырёх случаях одна и та же: решите, откуда вы будете скачивать, до того как начнёте искать. Идите на настоящий домен разработчика, который обычно можно проверить через само приложение, существующую установку, закладку, страницу разработчика в App Store или его верифицированный аккаунт в соцсетях. И скачивайте оттуда. Никогда не позволяйте странице результатов поиска выбирать источник за вас.

Практическая профилактика, которая действительно меняет дело

Короткий список, примерно в порядке значимости.

Устанавливайте из Mac App Store, если приложение там есть. Приложения из App Store работают в песочнице и проходят проверку, а это качественно иная планка, чем нотаризация. Она не идеальна, но поверхность атаки заметно уже.

Если приложения нет в App Store, идите на собственный проверенный сайт разработчика. Наберите домен, используйте закладку или перейдите со страницы разработчика в App Store. Не кликайте по рекламе.

Читайте имя образа диска перед установкой. Если вы искали один продукт, а смонтировали DMG с никак не связанным названием, остановитесь. Одна эта привычка остановила бы CrashStealer прямо на пороге.

Держите macOS обновлённой. Сигнатуры XProtect и данные об отзывах сертификатов приходят через механизм обновлений и доставляются независимо от того, устанавливаете ли вы полное обновление ОС, но актуальная версия поддерживает все уровни защиты в рабочем состоянии. Наше руководство по обновлению macOS Tahoe 26.6 описывает, что входит в текущий релиз и как установить его без проблем.

Используйте менеджер паролей с мастер-паролем, которого нет больше нигде. Отличным от пароля входа на Mac, отличным от пароля Apple Account и не являющимся вариацией ни одного из них. Именно это ограничивает радиус поражения, когда одна учётная запись падает.

Держите login Keychain защищённым настоящим паролем. Не ослабляйте пароль учётной записи из-за того, что его надоело набирать, и не отключайте защиту связки ключей. Touch ID существует именно затем, чтобы сильный пароль не был ежедневным налогом.

Включите FileVault и делайте резервные копии. FileVault защищает данные в состоянии покоя, если машина потеряна. Резервные копии — это то, что превращает «стереть и переустановить» из катастрофы в двухчасовое неудобство. Обе темы подробнее разобраны в нашем руководстве по безопасности и приватности Mac.

Включите двухфакторную аутентификацию до того, как она понадобится. Это тот механизм, который делает украденный пароль переживаемым событием.

Помогает ли антивирус на Mac на самом деле?

Честный ответ, без указания на конкретный продукт.

Сканеры вредоносного ПО в macOS полезны для конкретной задачи: распознавать то, что уже проанализировано и каталогизировано. Если на вашу машину попадёт известное семейство стилеров, поддерживаемый сканер с большой вероятностью его поймает, и это немало, потому что большинство заражений не являются новыми. Сканеры также действительно помогают после инцидента как второе мнение, когда вы пытаетесь понять, что находится на машине.

Хуже они справляются с ситуацией из этой статьи. CrashStealer был нативным бинарником от аккаунта разработчика с действующим сертификатом, и его основное вредоносное действие состояло в показе окна и чтении того, что набрал пользователь. Между появлением нового семейства и тем, как детектирование его догоняет, есть промежуток времени, и в этот промежуток сигнатурным инструментам не с чем сопоставлять. Поведенческое детектирование помогает, но не является волшебством.

Есть и честный контраргумент: macOS уже поставляется с многоуровневой защитой — Gatekeeper, XProtect, XProtect Remediator, проверки нотаризации, System Integrity Protection и песочница приложений для ПО из App Store. Для аккуратного пользователя с хорошими привычками загрузки сторонний антивирус добавляет меньше, чем на других платформах.

Где он явно осмыслен: если вы делите Mac с менее осторожными людьми, если вы работаете с чужими данными, если вы работаете в среде с требованиями комплаенса или если у вас уже был инцидент и вам нужна вторая пара глаз. Где он менее осмыслен: как замена привычкам из предыдущего раздела. Никакой сканер не защитит вас от решения ввести пароль в окно.

Если вам нужно более длинное сравнение, наше руководство по антивирусам для Mac на 2026 год подробно разбирает компромиссы.

Решение частых проблем

Проблема: Появился запрос пароля, я нажал Cancel и ничего не вводил. У меня всё в порядке? Решение: Почти наверняка да, в части самого пароля. Нажатие Cancel ничего не раскрывает. Но приложение, нарисовавшее запрос, всё ещё на вашем Mac и всё ещё работает. Завершите его через Force Quit, затем найдите и удалите, затем проверьте Login Items & Extensions и Device Management на предмет того, что оно после себя оставило. Следите, не вернётся ли запрос: это означает, что что-то ещё закрепилось. Если вы не можете найти источник или запрос появляется снова после перезагрузки, считайте это активным заражением и работайте по плану начиная с шага 10.

Проблема: Я действительно не могу понять, настоящий запрос или нет, а мне нужно авторизовать что-то законное. Решение: Полностью закройте запрос, затем создайте контекст сами. Завершите приложение. Откройте System Settings или Finder напрямую и инициируйте нужное действие оттуда. Если запрос появляется как непосредственный результат вашего клика в месте, которому вы доверяете, он гораздо вероятнее настоящий. Когда будете аутентифицироваться, используйте Touch ID, если он предлагается, чтобы пароль не набирался вовсе. Если запрос продолжает появляться без каких-либо ваших действий, эта неоднозначность и есть ответ: он поддельный.

Проблема: Я уже ввёл пароль. Что делать в первые шестьдесят секунд? Решение: Выключите Wi-Fi или отсоедините Ethernet. Прекратите использовать этот Mac для всего, что связано с учётными данными. Возьмите телефон или другой компьютер и смените пароль Apple Account, затем мастер-пароль менеджера паролей. Потом почта, потом финансовые счета. Если вы держали криптовалюту на этом Mac, переведите средства с чистого устройства прежде всего остального, потому что раскрытие seed-фразы отменить нельзя. Полная упорядоченная последовательность приведена в разделе с планом действий выше; работайте по нему, а не импровизируйте.

Проблема: Я нашёл в Force Quit или в папке Applications приложение, которое не узнаю. Решение: Не открывайте его. Поищите точное имя с другого устройства, прежде чем действовать, потому что у множества легитимных вспомогательных приложений странные имена. Если оно незнакомо и появилось примерно во время инцидента, завершите его, переместите в Корзину, очистите Корзину, затем проверьте Login Items & Extensions на предмет соответствующего фонового элемента и удалите его тоже. Найденный один компонент не означает, что вы нашли их все, поэтому продолжайте шаги осмотра и обдумайте решение о стирании.

Проблема: В System Settings отображается профиль конфигурации, который я никогда не устанавливал. Решение: На личном Mac, не управляемом работодателем или учебным заведением, панель Device Management обычно вообще отсутствует. Если она есть и перечисляет незнакомый профиль, это сильный индикатор компрометации, а профили могут перенаправлять DNS или устанавливать сертификаты, позволяющие перехватывать трафик. Удалите его в System Settings > General > Device Management, затем проверьте сетевые настройки на предмет изменённых DNS-серверов. Учитывая возможности профиля, эта находка сильно склоняет чашу весов к полному стиранию и переустановке.

Проблема: Мой Mac теперь постоянно запрашивает пароль login Keychain, и ничего из того, что я ввожу, не подходит. Решение: Это может происходить по совершенно безобидным причинам, обычно когда пароль учётной записи и пароль связки ключей рассинхронизировались после сброса. Это может и следовать за инцидентом безопасности. Если у вас есть хоть какие-то основания подозревать вредонос, сначала смените учётные данные с чистого устройства, а потом занимайтесь диагностикой. Если вы уверены, что это не связано ни с каким инцидентом, наше руководство о том, что делать, когда Mac постоянно запрашивает пароль login Keychain, разбирает безопасную ресинхронизацию или сброс связки ключей.

Часто задаваемые вопросы

Просит ли настоящий отчёт о сбое macOS мой пароль?

Нет. Когда приложение падает, macOS предлагает открыть его заново, проигнорировать или отправить отчёт в Apple. Отправка журнала сбоя не требует прав администратора, поэтому не существует конфигурации, в которой подлинный отчёт о сбоях просит вас аутентифицироваться. Окно отчёта о сбое, запрашивающее пароль от вашей учётной записи, поддельное — без исключений.

Как вредонос прошёл Gatekeeper, если мой Mac обновлён?

Jamf Threat Labs сообщила, что распространявшее приложение было подписано и нотаризовано действующим Apple Developer ID. Нотаризация — это автоматическое сканирование на известное вредоносное содержимое и проблемы с подписью, а не человеческая проверка безопасности, поэтому новый нативный бинарник может её пройти. Gatekeeper уважил действительный тикет. Apple с тех пор отозвала сертификат.

Если я ввёл пароль, скомпрометирован ли только он?

Нет, и это ключевой момент. Jamf сообщила, что CrashStealer проверяет пароль локально и, если он верен, может разблокировать login Keychain. Ваша связка ключей хранит пароли Wi-Fi, учётные данные приложений, сертификаты и сохранённые логины. Считайте раскрытыми все учётные данные, хранившиеся на этом Mac, а не только тот пароль, который вы ввели.

Решит ли проблему одно только стирание Mac?

Нет. Стирание убирает вредонос с машины, но никак не влияет на учётные данные, которые её уже покинули. Сначала смените пароли с чистого устройства, начиная с Apple Account и менеджера паролей, а потом стирайте. Также избегайте восстановления из резервной копии, сделанной после заражения, и переноса приложений, поскольку это может вернуть проблему.

Можно ли отличить поддельный запрос по внешнему виду?

Иногда, но не всегда. Попробуйте его перетащить: запрос, который не может покинуть окно другого приложения, точно поддельный. Проверьте строку меню и Force Quit, чтобы понять, какое приложение спрашивает. Но хорошо сделанная нативная подделка может пройти любой визуальный тест, поэтому надёжное правило — контекст, а не внешний вид. Незваные запросы враждебны.

Стоит ли мне после этого установить антивирус на Mac?

Он может помочь, в основном для отлова известных семейств вредоносов и как второе мнение после инцидента. Слабее всего он именно в этом сценарии — новый подписанный бинарник, чья атака состоит в убедительном окне. Хорошие привычки загрузки, отдельный мастер-пароль менеджера паролей и двухфакторная аутентификация защищают вас сильнее, чем любой сканер.

Заключение

CrashStealer — хорошо исполненная версия старой идеи. Jamf Threat Labs сообщила о нативном инфостилере на C++, доставляемом в образе диска с именем Werkbit Setup, который устанавливает приложение, называющее себя CrashReporter.app, показывает запрос пароля, оформленный под системный диалог, проверяет введённое и использует верный пароль для разблокировки вашего login Keychain, добираясь до учётных данных браузеров, данных менеджеров паролей и криптовалютных кошельков. Оно было подписано и нотаризовано действующим Apple Developer ID, поэтому Gatekeeper его пропустил, а Apple отозвала сертификат постфактум.

Уберите частности, и останется одна точка принятия решения: окно попросило ваш пароль, и вы решили, отдавать ли его. Это решение не техническое. Это привычка, а привычки можно выработать. Та, которую стоит выработать, достаточно проста, чтобы вспомнить её в час ночи: если вы не делали ничего, что требовало бы пароля, не вводите пароль. Отмените, выясните, какое приложение спрашивает, и заново инициируйте действие сами оттуда, чему доверяете. Используйте Touch ID, когда он предлагается, потому что отпечаток нельзя украсть так, как набранную строку.

Если вы читаете это уже после того, как ввели пароль, ситуация поправима, и важен именно порядок. Отключите Mac от сети. Перейдите на другое устройство. Сначала Apple Account, вторым менеджер паролей, третьей почта, четвёртыми деньги. Немедленно переведите криптовалюту с чистого устройства и считайте seed-фразу сгоревшей. Отзовите сессии, проверьте объекты входа и профили конфигурации, затем сотрите систему и настройте как новую, а не восстанавливайте скомпрометированное состояние. Идите по списку сверху вниз, а не пытайтесь решить всё сразу.

Потратьте пятнадцать минут на этой неделе на профилактику, пока ничего не горит: убедитесь, что двухфакторная аутентификация включена для почты и финансовых счетов, проверьте, что мастер-пароль менеджера паролей нигде больше не встречается, убедитесь, что у вас есть работающая резервная копия, и проверьте, что macOS актуальна. Затем добавьте эту страницу в закладки. Следующий поддельный запрос будет выглядеть иначе, а правила останутся теми же.