Um novo ataque do tipo ClickFix está a visar utilizadores de macOS, recorrendo a uma ameaça desenvolvida na linguagem Go concebida para roubar dados sensíveis e desviar ativos digitais. De acordo com os peritos de cibersegurança da Huntress, esta praga consegue extrair palavras-passe armazenadas nos navegadores, dados do Apple Keychain e credenciais em cache, além de ter a capacidade de manipular transações financeiras em tempo real.
A estratégia de engenharia social começa com o envio de um email malicioso que incita a vítima a aceder a uma página web. Nessa página, a pessoa é instruída a copiar e executar um comando diretamente na aplicação Terminal. Esta ação descarrega um script em Bash que atua como perfilador e carregador do código nocivo, recolhendo informações do sistema, como o tipo de CPU e a memória RAM, e identificando o nome da conta do utilizador ativo.
Como funciona a infeção e a evasão no sistema
Após recolher os dados básicos do equipamento, o script obtém a carga útil em formato Mach-O compatível com a arquitetura do processador da vítima. Para contornar a atenção da pessoa afetada e manter-se discreto, o ficheiro cria uma pasta batizada com o nome de trustd — referente ao processo genuíno do ecossistema da Apple encarregue de validar certificados criptográficos e assinaturas de código.
O programa nocivo é depois copiado para esse diretório com o nome com.apple.verified. De seguida, o carregador remove o atributo estendido com.apple.quarantine para evitar que a funcionalidade de segurança Gatekeeper trate o ficheiro como quarentena ou apresente qualquer aviso ao utilizador quando este for executado. Para garantir a persistência no sistema e elevar os privilégios de acesso, a ameaça apresenta uma janela de erro falsa criada através do utilitário osascript, solicitando a palavra-passe de administrador.
Desvio cirúrgico de fundos e servidores sancionados
Uma vez instalado com privilégios elevados, o módulo principal varre o armazenamento em busca de ficheiros com credenciais, identificados pelo nome e extensão. Bases de dados de palavras-passe de browsers, dados da chave do sistema e cookies de sessão são examinados em pormenor. No entanto, o elemento diferenciador deste software malicioso reside no tratamento dado às transações financeiras.
Ao contrário de outros drenadores que esvaziam totalmente as carteiras digitais, este código inclui algoritmos que modificam as transações antes de estas serem assinadas digitalmente. A ameaça pode ser configurada para redirecionar apenas uma percentagem dos valores, calculando por exemplo 1% do saldo disponível, o que dificulta a perceção do roubo por parte da vítima. Entre as moedas visadas encontram-se o Bitcoin, Litecoin, Dogecoin, Monero, Ethereum e XRP da Ripple.
A investigação apurou ainda que o malware comunica com endereços IP partilhados localizados no Sistema Autónomo (AS) 210644. Esta infraestrutura pertence à empresa russa Aeza Group, uma entidade sancionada pelos Governos dos EUA e do Reino Unido por fornecer serviços de alojamento blindado a diversos grupos de cibersegurança e ransomware. Para quem utiliza um computador da Apple e lida com ativos virtuais, a atenção redobrada ao executar comandos desconhecidos na consola de comandos continua a ser a principal linha de defesa.
(TT)