Le malware macOS notarisé n’est plus une hypothèse : la campagne CrashStealer, qui se fait passer pour un outil de rapport de plantage d’Apple, utilise un dropper signé et notarisé pour franchir Gatekeeper et voler identifiants, portefeuilles crypto et fichiers sensibles. Pour une PME-ETI, la leçon est brutale : la signature Apple valide l’origine du code, pas ses intentions. Ce tutoriel vous guide, étape par étape, pour durcir macOS face à ces menaces qui abusent de la confiance accordée à la notarisation.
Pourquoi la notarisation ne suffit plus à protéger macOS
Gatekeeper vérifie qu’une application est signée par un développeur identifié et qu’elle a passé le contrôle automatisé de notarisation d’Apple. Mais un attaquant qui obtient un compte développeur (volé ou créé pour l’occasion) peut faire notariser un binaire malveillant avant qu’Apple ne révoque le certificat. Résultat : sur un Mac standard, le malware macOS notarisé s’exécute sans le moindre avertissement.
CrashStealer illustre parfaitement cette faille de confiance : le dropper notarisé installe la charge utile, puis siphonne les données du navigateur, les cookies de session et les fichiers de portefeuilles. Comme pour les infostealers Amadey et StealC, l’objectif final est le vol d’identifiants revendus ensuite à des groupes de ransomware.
Étape 1 — Renforcer Gatekeeper et la quarantaine
Première mesure pour durcir macOS : n’assouplissez jamais Gatekeeper. Vérifiez et forcez sa configuration la plus stricte.
- Confirmez que Gatekeeper est actif : spctl –status doit renvoyer assessments enabled.
- Interdisez l’ouverture d’applications non identifiées via clic droit > Ouvrir, un contournement classique du malware macOS notarisé.
- Conservez l’attribut de quarantaine : ne lancez jamais xattr -d com.apple.quarantine sur un fichier téléchargé.
- Bloquez les montages de DMG et l’exécution depuis /tmp ou les dossiers de téléchargement via une politique de gestion.
Étape 2 — Déployer une allowlist applicative
La signature ne prouvant plus l’intention, la défense la plus fiable reste l’allowlisting : n’autoriser que les applications explicitement approuvées. C’est le même principe que celui appliqué pour sécuriser les extensions navigateur.
- Utilisez un MDM (Jamf, Kandji, Mosyle ou Intune) pour définir une liste blanche d’applications et de Team IDs autorisés.
- Combinez l’allowlist avec une configuration com.apple.applicationaccess qui restreint les binaires exécutables.
- Refusez par défaut tout binaire non signé par un Team ID connu de l’entreprise.
- Auditez régulièrement les Team IDs approuvés et révoquez ceux qui ne servent plus.
Étape 3 — Verrouiller les navigateurs et les secrets locaux
CrashStealer cible en priorité les données sauvegardées localement. Pour limiter l’impact d’un malware macOS notarisé qui aurait franchi la première ligne :
- Interdisez l’enregistrement des mots de passe dans le navigateur ; imposez un gestionnaire de mots de passe d’entreprise chiffré.
- Activez l’authentification multifacteur résistante au phishing (passkeys, clés FIDO2) pour neutraliser le vol de cookies de session.
- Chiffrez les disques avec FileVault et restreignez l’accès aux répertoires de portefeuilles crypto.
- Réduisez la durée de vie des sessions et forcez une réauthentification régulière.
Étape 4 — Détecter et répondre en continu
Durcir macOS ne dispense pas de surveiller. Un malware macOS notarisé laisse des traces exploitables si vous collectez les bons journaux.
- Déployez un EDR compatible macOS et centralisez les alertes dans votre SIEM.
- Surveillez les créations de LaunchAgents et LaunchDaemons, vecteurs de persistance favoris.
- Alertez sur toute suppression d’attribut de quarantaine et sur les processus lisant les bases de données de navigateurs.
- Tenez à jour une liste des certificats développeur révoqués par Apple et bloquez les Team IDs correspondants.
Le réflexe à adopter en PME-ETI
Face au malware macOS notarisé, la bonne posture consiste à traiter la signature Apple comme un simple indice, jamais comme une garantie. En combinant Gatekeeper strict, allowlisting applicatif, verrouillage des secrets et détection continue, une PME-ETI réduit drastiquement la surface d’attaque de CrashStealer et de ses successeurs. La confiance ne se déduit pas d’un certificat : elle se vérifie, en continu.