Os investigadores da Infosecurity Magazine detetaram uma ameaça avançada direcionada aos computadores da Apple, desenhada para roubar dados enquanto sabota as ferramentas de defesa modernas. O software malicioso, identificado como macOS.Gaslight, apresenta um comportamento sem precedentes no ecossistema da marca, pois recorre à injeção de instruções falsas para confundir os sistemas automatizados de análise que os especialistas de cibersegurança utilizam diariamente.
A ilusão contra as ferramentas de análise
Desenvolvido na linguagem de programação Rust, este código hostil foca-se exclusivamente na extração de informações sensíveis do sistema operativo. A característica mais singular do macOS.Gaslight reside num pequeno bloco de texto oculto no próprio código, que contém dezenas de mensagens fabricadas. Estas instruções simulam erros críticos, como discos cheios ou falhas de memória graves.
O objetivo desta tática é inundar os mecanismos de inteligência artificial com alertas falsos durante o processo de inspeção do ficheiro. Ao processar estes dados corrompidos, a ferramenta de análise conclui prematuramente que ocorreu uma falha técnica e abandona a verificação, permitindo que a ameaça passe despercebida. Este método, conhecido como injeção de instruções, demonstra uma adaptação preocupante dos cibercriminosos às novas defesas baseadas em automatização.
Controlo silencioso e extração de credenciais
Para comunicar com os atacantes sem levantar suspeitas, o vírus apoia-se na infraestrutura do Telegram, utilizando a plataforma para criar um canal encriptado de comando e controlo. O tráfego de rede é ofuscado através de certificados personalizados, dificultando o rastreamento por parte dos firewalls convencionais. Curiosamente, o código apaga o seu próprio token de acesso aos servidores da plataforma de mensagens, eliminando o rasto que poderia levar à identificação dos operadores da campanha.
Uma vez instalado na máquina da vítima, o programa ativa recursos nativos do sistema operativo para impedir a suspensão de energia, garantindo uma ligação constante. A partir desse momento, inicia-se a recolha exaustiva de dados de navegação, do histórico de comandos e, mais grave ainda, do ficheiro que armazena as palavras-passe locais. Para garantir a persistência após cada reinício, a ameaça camufla-se sob um falso serviço de sistema oficial.
A proteção nativa XProtect já foi atualizada para neutralizar o macOS.Gaslight, mas muitos antivírus tradicionais ainda apresentam dificuldades na sua deteção. Para o utilizador português, isto reforça a necessidade absoluta de manter o sistema sempre atualizado com as últimas correções de segurança e de evitar a instalação de software proveniente de portais não verificados, uma vez que as campanhas ligadas a esta família de ameaças, historicamente associadas a grupos da Coreia do Norte, continuam ativas e em constante evolução.
Nenhum comentário
Seja o primeiro!