Malware ladrão atômico do macOS
Pesquisadores de segurança cibernética descobriram uma nova campanha de malware que aproveita a tática enganosa de engenharia social conhecida como ClickFix para distribuir o Atomic macOS Stealer (AMOS), um malware de roubo de informações projetado para comprometer os sistemas macOS da Apple.
Índice
Táticas de Typosquat: Representando o Spectrum
Os invasores por trás desta campanha utilizam domínios "typo-squat" que imitam a operadora de telecomunicações americana Spectrum, usando sites fraudulentos como panel-spectrum.net e spectrum-ticket.net para atrair usuários desavisados. Esses domínios semelhantes são criados para parecer legítimos, aumentando a probabilidade de confiança e interação do usuário.
Script de shell malicioso: a carga útil oculta
Usuários do macOS que visitam esses sites falsos recebem um script de shell malicioso. Esse script solicita que as vítimas insiram a senha do sistema e rouba credenciais, ignora os controles de segurança do macOS e instala uma variante do malware AMOS para exploração posterior. Comandos nativos do macOS são usados para maximizar a eficácia do script, mantendo-o discreto.
Traços de Origem: Comentários do Código da Língua Russa
Evidências sugerem que cibercriminosos falantes de russo podem estar por trás dessa campanha. Pesquisadores encontraram comentários em russo incorporados ao código-fonte do malware, apontando para a provável origem geográfica e linguística dos autores da ameaça.
CAPTCHA enganoso: a isca do ClickFix
O ataque começa com uma mensagem falsa de verificação hCaptcha que alega estar verificando a segurança da conexão do usuário. Após clicar na caixa de seleção "Sou humano", os usuários recebem uma mensagem de erro falsa: "Falha na verificação do CAPTCHA". Em seguida, são solicitados a prosseguir com uma "Verificação Alternativa".
Esta ação copia um comando malicioso para a área de transferência e exibe instruções com base no sistema operacional do usuário. No macOS, as vítimas são orientadas a colar e executar o comando no aplicativo Terminal, iniciando o download do AMOS.
Execução desleixada: pistas no código
Apesar da intenção perigosa da campanha, os pesquisadores notaram inconsistências na infraestrutura do ataque. Erros de lógica e programação inadequados foram observados nas páginas de entrega, como:
- Comandos do PowerShell sendo copiados para usuários do Linux.
- Instruções específicas do Windows mostradas para usuários de Windows e Mac.
- Incompatibilidades no front-end entre o sistema operacional exibido e as instruções.
- Esses erros indicam uma infraestrutura de ataque construída às pressas ou mal mantida.
A ascensão do ClickFix: um vetor de ameaça em expansão
Este desenvolvimento faz parte de uma tendência crescente no uso da tática ClickFix em diversas campanhas de malware ao longo do último ano. Os agentes de ameaças utilizam consistentemente técnicas, ferramentas e procedimentos (TTPs) semelhantes para acesso inicial, mais comumente:
- Spear phishing
- Downloads drive-by
- Links maliciosos compartilhados por meio de plataformas confiáveis como o GitHub
Correções falsas, danos reais: a pior engenharia social
As vítimas são enganadas, fazendo-as acreditar que estão resolvendo um problema técnico inofensivo. Na realidade, estão executando comandos nocivos que instalam malware. Essa forma de engenharia social é altamente eficaz para driblar a conscientização do usuário e os mecanismos de segurança padrão.
Impacto crescente: disseminação global e cargas úteis diversas
Campanhas ClickFix foram detectadas em ambientes de clientes nos Estados Unidos, Europa, Oriente Médio e África (EMEA). Esses ataques estão cada vez mais diversificados, incluindo não apenas ladrões de dados como o AMOS, mas também trojans e ransomware. Embora os payloads possam variar, a metodologia principal permanece consistente: manipular o comportamento do usuário para comprometer a segurança.
Conclusão: Vigilância necessária
Esta campanha destaca a importância da vigilância contínua, da educação do usuário e de controles de segurança robustos. À medida que táticas de engenharia social como o ClickFix evoluem, organizações e indivíduos precisam se manter informados e preparados para reconhecer e bloquear essas ameaças enganosas.
