Uma nova campanha maliciosa está a atingir os computadores da Apple, utilizando uma técnica de engenharia social conhecida como ClickFix. Os atacantes apresentam uma página falsa de verificação humana que incentiva as vítimas a copiar e colar um comando no terminal do macOS, instalando de forma silenciosa o infostealer Atomic macOS Stealer (AMOS). A descoberta foi revelada pelos investigadores da Unit 42 da Palo Alto Networks.
O esquema baseia-se na frustração habitual dos internautas com os testes de segurança. Ao deparar-se com um erro simulado no navegador web, a vítima recebe instruções para abrir a linha de comandos do sistema e introduzir um código específico, sob o falso pretexto de provar que não é um robô.
Como funciona o ataque silencioso
Ao executar a instrução fornecida, o utilizador inicia um processo que decorre inteiramente em segundo plano. O script descarrega um ficheiro de imagem de disco (DMG) a partir de um servidor controlado pelos atacantes e guarda-o numa pasta temporária do sistema operativo. De seguida, recorre à ferramenta nativa hdiutil para montar o volume sem que este apareça no ambiente de trabalho ou no explorador de ficheiros.
Uma vez montado o disco virtual, o script avança três níveis nas pastas à procura de aplicações ou instaladores, executando o primeiro que encontrar. Esta abordagem elimina a necessidade de o utilizador abrir manualmente o ficheiro descarregado, contornando a habitual hesitação perante alertas de segurança diretos na instalação de software desconhecido, o que torna a distribuição deste malware particularmente eficaz.
Dados em risco e prevenção
O alvo principal desta operação é a extração massiva de dados pessoais e financeiros. O código malicioso força a apresentação de uma janela que simula as definições do sistema para pedir a palavra-passe do administrador. Após obter o acesso, procede à recolha de informações de navegadores baseados em Chromium e Firefox, bem como do Safari, extraindo cookies, histórico, detalhes de cartões de pagamento automático e dados de perfil.
Para quem lida com criptomoedas, o perigo é ainda maior e exige atenção redobrada. O programa consegue extrair dados de diversas carteiras digitais e chega ao ponto de substituir instalações legítimas de aplicações como Ledger Live e Trezor Suite por versões adulteradas prontas a desviar fundos. Adicionalmente, o programa agrupa conversas do Telegram e Discord, ficheiros do Porta-chaves da Apple, notas e documentos de texto num arquivo comprimido que é enviado para os servidores dos cibercriminosos.
Na perspetiva de segurança informática, a regra principal para qualquer utilizador é nunca copiar e colar comandos no terminal do computador a pedido de um site, independentemente da aparente legitimidade da página. Os sistemas reais de verificação humana dependem sempre da interação direta na página web e nunca da execução de código local na máquina do utilizador.
Nenhum comentário
Seja o primeiro!