Os pesquisadores da Group-IB apontaram a existência de um novo malware para macOS chamado ClickLock Stealer, que usa uma falsa verificação da Cloudflare para enganar os usuários, roubando dados sensíveis.
Mirando usuários na Itália, nos Estados Unidos, na Jordânia e no Reino Unido, os criminosos iniciam o ataque simulando uma verificação de CAPTCHA da Cloudflare e, na sequência, convencem a vítima a copiar e colar um comando no Terminal do Mac.
Após a execução, o malware é instalado enquanto exibe uma falsa tela de progresso. Se o usuário optar por tentar interromper a instalação ou não seguir de alguma forma com o processo, ele fecha todos os aplicativos visíveis, deixando apenas uma janela para inserir a senha do macOS. O ciclo de insistência do software pode passar dos três dias (algo em torno de 83 horas segundo o estudo).
Posts relacionados
- CrashStealer: malware para macOS é visto em app aparentemente legítimo
- Malware usa mecanismo de autenticação do Mac para roubar senha do sistema
- Novo malware engana agentes de IA com alertas falsos no macOS
Depois de instalado, o malware começa a coletar senhas de navegadores, extensões de carteiras de criptomoedas, arquivos de carteiras digitais, dados de gerenciadores de senhas e outras informações comprometedoras.
Segundo os especialistas, o ClickLock Stealer começou a ser distribuído em maio passado, passando despercebido por todos os mecanismos de pesquisa até recentemente. Ele foi identificado em 33 países, em sua maioria europeus, sem veiculação a algum grupo de crime cibernético, distribuído muito possivelmente por uma campanha de engenharia social do tipo ClickFix.
O estudo recomenda aos usuários que nunca colem comandos de websites no Terminal, independentemente de como a página se parece ou do que ela alega fazer, e a nunca entregar a sua senha a espaços extraoficiais (como comandos) — caso você perceba que a execução de outros aplicativos está sendo encerrada. Se você desconfiar que a sua máquina foi infectada com o malware, revogue as sessões dos seus navegadores e altere todas as credenciais potencialmente comprometidas.
via Macworld