Ladrão de Miolab

Miolab, também conhecido como Nova, é um avançado ladrão de informações projetado especificamente para atacar usuários de macOS. Distribuído por meio de fóruns de hackers sob o modelo de Malware como Serviço (MaaS), ele permite que cibercriminosos acessem um poderoso conjunto de ferramentas sem a necessidade de conhecimento técnico aprofundado. O malware é capaz de extrair dados confidenciais de extensões de carteiras de criptomoedas, navegadores da web e diversos aplicativos de gerenciamento, além de coletar arquivos diretamente de sistemas comprometidos. A remoção imediata após a detecção é crucial para minimizar os danos.

Projetado para eficiência, construído para evasão.

O Miolab não é um simples ladrão de arquivos; ele integra um painel de controle centralizado e ferramentas de gerenciamento de ataques que elevam significativamente seu nível de ameaça. Essa infraestrutura permite que até mesmo atacantes com pouca experiência executem campanhas complexas. Sua arquitetura leve e otimizada aprimora a propagação, garante desempenho consistente em diversos ambientes macOS e ajuda a burlar os mecanismos de detecção tradicionais.

Comando e Controle: Gerenciamento de Ataques Simplificado

O painel de controle integrado fornece aos invasores uma visão geral estruturada das vítimas comprometidas, incluindo dados geográficos e informações coletadas. Ele também inclui funcionalidades para reutilizar sessões de autenticação do Google roubadas, permitindo acesso não autorizado à conta sem exigir senhas ou contornar diretamente a autenticação de dois fatores.

Além disso, o Miolab oferece suporte à implantação de páginas de distribuição maliciosas e métodos de ataque semelhantes ao ClickFix. Os operadores se beneficiam de notificações em tempo real via Telegram e podem automatizar várias etapas de suas campanhas, aumentando a eficiência operacional e a escalabilidade.

Capacidades de extração de dados de navegadores e criptomoedas

O Miolab ataca agressivamente os dados armazenados no navegador, extraindo credenciais e informações relacionadas à sessão que podem ser exploradas para comprometer ainda mais o sistema. Seu alcance se estende tanto a navegadores convencionais quanto a navegadores de nicho, ampliando significativamente sua superfície de impacto.

• Os dados confidenciais coletados do navegador incluem senhas salvas, cookies, histórico de navegação e detalhes de preenchimento automático, como e-mails e endereços.
• Artefatos de autenticação, como tokens do Google e cookies do Safari, também são coletados.
  Os navegadores visados incluem Chrome, Edge, Firefox, Arc, Brave, Librewolf, Opera, Opera GX, SeaMonkey, Tor Browser, Vivaldi, Waterfox, Yandex e Coc Coc.
• Além dos navegadores, o Miolab concentra-se principalmente em ativos de criptomoedas, extraindo arquivos como .dat, .key e .keys de mais de 200 extensões de carteira. Ele também tem como alvo aplicativos usados para gerenciar carteiras de hardware, possibilitando o roubo de dados críticos de recuperação.
• As ferramentas de criptomoedas visadas incluem Atomic Wallet, Binance, Bitcoin, DashCore, Dogecoin, Electrum, Exodus, Guarda, Litecoin, Monero, Tonkeeper e Wasabi Wallet.

• Aplicativos como Ledger Live, Ledger Wallet e Trezor Suite são especificamente voltados para a extração de frases de recuperação de 24 palavras.

Além dos navegadores: mensagens e exploração de dados locais

O malware estende seu alcance a aplicativos de comunicação e produtividade. Ele pode sequestrar sessões ativas em plataformas como Telegram e Discord, concedendo aos invasores acesso às contas sem a necessidade de credenciais. Ele também inspeciona o app Notas da Apple, um local comum onde os usuários podem armazenar inadvertidamente informações confidenciais, como senhas ou frases de recuperação de criptomoedas.

Após a coleta de dados, o Miolab compacta as informações roubadas em um arquivo ZIP e as exfiltra via HTTP. Para ocultar sua atividade, exibe uma mensagem de erro enganosa do macOS indicando que o aplicativo não pode ser executado.

Impacto: O verdadeiro custo da infecção

Uma infecção por Miolab pode levar a consequências graves. As vítimas podem sofrer perdas financeiras devido ao roubo de criptomoedas, acesso não autorizado a contas, roubo de identidade, danos à reputação e a possibilidade de novas infecções por malware decorrentes da invasão inicial.

Cadeia de Infecção: Engenharia Social em sua Essência

O Miolab depende fortemente do engano para se infiltrar em sistemas. Os cibercriminosos o distribuem por meio de aplicativos falsos para macOS, empacotados como arquivos de imagem de disco (.DMG), cuidadosamente elaborados para se assemelharem a softwares legítimos. Esses instaladores geralmente apresentam marcas, ícones e interfaces de usuário convincentes para aumentar a credibilidade.

Uma vez executado, o malware inicia um processo de infecção em várias etapas. Ele apresenta uma interface de instalação falsa, induzindo os usuários a ignorar os avisos de segurança clicando com o botão direito e selecionando "Abrir". Em seguida, tenta encerrar o aplicativo Terminal para limitar a visibilidade de suas ações. Uma solicitação de senha falsa do macOS é exibida, enganando os usuários para que forneçam suas credenciais de sistema.

Após validar a senha, o Miolab coleta informações do sistema, incluindo especificações de hardware e configurações de software. Em seguida, ele examina diretórios importantes, como Área de Trabalho, Documentos e Downloads, visando arquivos como documentos, planilhas, PDFs e dados relacionados a senhas. Durante esse processo, os usuários podem se deparar com solicitações de permissão, enquanto o malware silenciosamente agrega e prepara os dados coletados para exfiltração.