Um novo software malicioso avançado está a visar os computadores da Apple com o objetivo de roubar credenciais de acesso, carteiras de criptomoedas e dados confidenciais dos utilizadores. De acordo com uma investigação recentemente publicada pela empresa de segurança Jamf, este malware, batizado de CrashStealer, utiliza técnicas sofisticadas de evasão para contornar as defesas nativas do sistema operativo.
A ameaça destaca-se por imitar quase na perfeição uma utilidade legítima do ecossistema, procurando passar despercebida tanto pelos utilizadores como pelas ferramentas de proteção tradicionais presentes no macOS.
Uma camuflagem quase perfeita no sistema
O CrashStealer opera disfarçando o seu ficheiro binário com o nome "CrashReporter.app", uma designação idêntica ao componente legítimo da Apple responsável por relatar falhas no sistema. Para reforçar a farsa, o programa malicioso cria um serviço persistente no arranque através de um LaunchAgent e adota o ícone e os metadados oficiais da ferramenta genuína.
O método de distribuição inicial baseia-se num instalador denominado "Werkbit Setup", que se descobriu estar assinado e notarizado pela própria Apple. Esta certificação oficial permite que o instalador contorne o Gatekeeper — a barreira de segurança nativa da marca — sem disparar qualquer tipo de alerta ou aviso de perigo para quem o executa.
Roubo de credenciais e encriptação de dados
Assim que é lançado, o malware exibe uma janela falsa de introdução de palavra-passe, simulando um pedido legítimo de privilégios de administrador. Caso o utilizador introduza os dados corretos, os atacantes ganham acesso imediato ao Keychain do macOS, onde estão guardadas as chaves criptográficas, credenciais do Safari, palavras-passe de redes Wi-Fi e tokens de autenticação.
A análise técnica detalhada revela que o CrashStealer foca as suas capacidades na extração de dados sensíveis de várias aplicações de terceiros:
Credenciais e cookies de navegadores baseados em Chromium e Firefox.
Mais de 80 extensões de carteiras de criptomoedas, incluindo MetaMask, Coinbase Wallet e Phantom.
Dados de 14 gestores de passwords populares, como o 1Password, LastPass e Bitwarden.
Ficheiros guardados nas pastas locais de Documentos e Downloads.
Antes de enviar as informações recolhidas para o servidor de comando e controlo (C2), a ameaça recorre ao algoritmo de encriptação AES-256-GCM para proteger os dados roubados. Estes são posteriormente compactados em ficheiros ZIP ocultos e transferidos de forma dissimulada. Os investigadores apontam que a campanha aparenta ser altamente direcionada, uma vez que o download do instalador nocivo num site fraudulento exige a introdução de um código PIN específico para cada visitante.
Nenhum comentário
Seja o primeiro!