Lladre de Miolab

Miolab, també conegut com a Nova, és un lladre d'informació avançat dissenyat específicament per a usuaris de macOS. Distribuït a través de fòrums de pirates informàtics sota el model Malware-as-a-Service (MaaS), permet als ciberdelinqüents accedir a un potent conjunt d'eines sense necessitat de coneixements tècnics profunds. El programari maliciós és capaç d'extreure dades sensibles d'extensions de carteres de criptomonedes, navegadors web i diverses aplicacions de gestió, alhora que recopila fitxers directament dels sistemes compromesos. L'eliminació immediata és fonamental després de la detecció per minimitzar els danys.

Dissenyat per a l’eficiència, construït per a l’evasió

Miolab no és un lladre bàsic; integra un panell de control centralitzat i eines de gestió d'atacs que eleven significativament el seu nivell d'amenaça. Aquesta infraestructura permet fins i tot als atacants poc qualificats executar campanyes complexes. La seva arquitectura lleugera i optimitzada millora la propagació, garanteix un rendiment consistent en diversos entorns macOS i ajuda a evadir els mecanismes de detecció tradicionals.

Comandament i control: gestió d’atacs simplificada

El tauler de control integrat proporciona als atacants una visió general estructurada de les víctimes compromeses, incloent-hi dades geogràfiques i informació recopilada. També inclou la funcionalitat per reutilitzar sessions d'autenticació de Google robades, permetent l'accés no autoritzat al compte sense necessitat de contrasenyes o evitant directament l'autenticació de dos factors.

A més, Miolab admet el desplegament de pàgines de distribució malicioses i mètodes d'atac d'estil ClickFix. Els operadors es beneficien de notificacions en temps real a través de Telegram i poden automatitzar diverses etapes de les seves campanyes, augmentant l'eficiència operativa i l'escalabilitat.

Capacitats d’extracció de dades del navegador i de les criptomonedes

Miolab ataca agressivament les dades emmagatzemades al navegador, extraient credencials i informació relacionada amb la sessió que es pot aprofitar per a un major compromís. El seu abast s'estén tant als navegadors convencionals com als de nínxol, ampliant significativament la seva superfície d'impacte.

• Les dades sensibles del navegador recollides inclouen contrasenyes desades, galetes, historial de navegació i detalls d'emplenament automàtic, com ara correus electrònics i adreces.
• També es recopilen artefactes d'autenticació com ara els tokens de Google i les galetes de Safari.
  Els navegadors de destinació inclouen Chrome, Edge, Firefox, Arc, Brave, Librewolf, Opera, Opera GX, SeaMonkey, Tor Browser, Vivaldi, Waterfox, Yandex i Coc Coc.
• Més enllà dels navegadors, Miolab se centra principalment en els actius de criptomoneda extraient fitxers com ara .dat, .key i .keys de més de 200 extensions de moneder. També té com a objectiu les aplicacions utilitzades per gestionar moneders de maquinari, permetent el robatori de dades de recuperació crítiques.
• Les eines de criptomoneda específiques inclouen Atomic Wallet, Binance, Bitcoin, DashCore, Dogecoin, Electrum, Exodus, Guarda, Litecoin, Monero, Tonkeeper i Wasabi Wallet.

• Aplicacions com ara Ledger Live, Ledger Wallet i Trezor Suite estan dirigides específicament a l'extracció de frases llavor de recuperació de 24 paraules.

Més enllà dels navegadors: missatgeria i explotació de dades locals

El programari maliciós estén el seu abast a aplicacions de comunicació i productivitat. Pot segrestar sessions actives de plataformes com Telegram i Discord, atorgant als atacants accés al compte sense credencials. També inspecciona Apple Notes, una ubicació habitual on els usuaris poden emmagatzemar involuntàriament informació sensible com ara contrasenyes o frases de recuperació de criptomonedes.

Un cop finalitzada la recopilació de dades, Miolab comprimeix la informació robada en un arxiu ZIP i l'exfiltra mitjançant HTTP. Per ocultar la seva activitat, mostra un missatge d'error enganyós de macOS que indica que l'aplicació no es pot executar.

Impacte: el cost real de la infecció

Una infecció per Miolab pot tenir greus conseqüències. Les víctimes poden patir pèrdues financeres a causa del robatori de criptomonedes, accés no autoritzat a comptes, robatori d'identitat, danys a la reputació i la possibilitat de futures infeccions de programari maliciós derivades del compromís inicial.

Cadena d’infecció: l’enginyeria social al seu nucli

Miolab es basa en gran mesura en l'engany per infiltrar-se en els sistemes. Els ciberdelinqüents el distribueixen a través d'aplicacions macOS falses empaquetades com a fitxers d'imatge de disc (.DMG), acuradament dissenyats per semblar-se a programari legítim. Aquests instal·ladors sovint presenten una marca, icones i interfícies d'usuari convincents per augmentar la credibilitat.

Un cop executat, el programari maliciós inicia un procés d'infecció en diverses etapes. Presenta una interfície d'instal·lació falsa que demana als usuaris que ignorin els avisos de seguretat fent clic amb el botó dret i seleccionant "Obre". A continuació, intenta tancar l'aplicació Terminal per limitar la visibilitat de les seves accions. Es mostra una sol·licitud de contrasenya falsa de macOS, que enganya els usuaris perquè proporcionin les seves credencials de sistema.

Després de validar la contrasenya, Miolab recopila informació a nivell de sistema, incloses les especificacions del maquinari i les configuracions del programari. Procedeix a escanejar directoris clau com ara Escriptori, Documents i Descàrregues, centrant-se en fitxers com documents, fulls de càlcul, PDF i dades relacionades amb contrasenyes. Durant aquest procés, els usuaris poden trobar sol·licituds de permís, mentre que el programari maliciós agrega i prepara silenciosament les dades recollides per a l'exfiltració.