Pesquisadores de segurança da Huntress descobriram um novo malware para macOS cuja instalação se dá ao copiar e colar um comando de origem desconhecida no Terminal, desta vez focando nas carteiras de criptomoedas dos usuários.
O malware se infiltra na máquina pela técnica ClickFix, se disfarçando como um CAPTCHA falso ou uma mensagem de erro para convencer a vítima a executar um comando copiado no Terminal.
Na sequência, o Mac é cooptado por um script em bash que identifica as especificações da máquina (já que ele é compatível tanto com Macs equipados com chips Apple Silicon quanto processadores da Intel), injeta um payload, limpa a janela do Terminal e remove o histórico do shell de comando do macOS.
Ainda que o software seja capaz de roubar credenciais, sua característica mais notável é a de drenar carteiras de criptomoedas, transferindo fundos para as contas dos invasores.
Para isso, o malware exibe uma caixa de diálogo muito semelhante à janela nativa do sistema da Apple, solicitando a senha do usuário. Ele utiliza o osascript, ferramenta de linha de comando nativa do macOS para execução de scripts, bem como um script para localizar endereços de carteiras de criptomoedas — verificando os saldos com as blockchains correspondentes.
Outro cuidado dos criminosos envolve o uso de nomes que se assemelham a elementos legítimos do macOS, instalando um payload no diretório ~/Library/Caches/com.apple.trustd. Ele conta ainda com um mecanismo de evasão capaz de burlar a barreira de proteção do sistema contra arquivos executáveis, mesmo quando o malware não foi colocado em quarentena.
O sistema também é capaz de ler o malware como um item em segundo plano, já que ele se disfarçava como um LaunchAgent e um atualizador de sistema intitulado com.apple.softwareupdated.plist.
Segundo a apuração dos pesquisadores — que rastrearam a infraestrutura que hospeda o payloader, os endereços IP (provenientes de um provedor de hospedagem russo sancionado pelos Estados Unidos e pelo Reino Unido) e o servidor de comando e controle —, não foram encontradas evidências que endossem a possibilidade de um ataque bem sucedido. Os endereços públicos das carteiras presentes na amostra do dossiê não registravam transações nem recebimentos de qualquer natureza.
Como me proteger?
O primeiro passo é não colar quaisquer comandos com origem desconhecida no Terminal do macOS (não em vão a Apple adicionou um aviso sobre isso, bloqueando scripts de malware já conhecidos).
A publicação da Huntress também enfatiza que apagar cópias do binário instalado na máquina pode resolver o problema, já que ele não terá a capacidade de se reconstituir — ainda que isso não reverta qualquer possível drenagem já feita das carteiras de criptomoedas.
via AppleInsider