专家通过深入分析后发现，在攻击链的首个阶段，主要通过 Werkbit 签名并经苹果公证应用分发。该应用带有与 Emil Grigorov 关联的有效 Developer ID，可绕过 Gatekeeper 未识别开发者警告。

　　攻击者会诱导用户手动下载并启动 Werkbit，在后续投递链运行后，会诱导用户输入有效 Mac 密码，从而加载 CrashStealer 恶意载荷。

　　该木马会弹出仿 macOS 授权窗口，诱导用户输入账户密码。Jamf 称，CrashStealer 利用苹果合法 dscl 命令在本地校验密码，随后解锁 Mac 登录钥匙串，并 login.keychain-db 到隐藏暂存目录。

　　援引博文介绍：代码还瞄准 Chrome、Edge、Brave、Firefox、Opera、Vivaldi 等浏览器，收集配置文件、Cookie、已保存登录信息和扩展数据，同时影响约 80 个加密货币钱包扩展和 14 款密码管理器，包括：