·
Os utilizadores de macOS voltam a estar na mira dos cibercriminosos. Investigadores de segurança descobriram uma nova ameaça, denominada ClickLock Stealer. Este malware é "bravo" e resulta da engenharia social dirigida a utilizadores Apple.
Este novo malware utiliza uma abordagem particularmente agressiva: em vez de explorar uma vulnerabilidade do sistema operativo, tenta convencer a própria vítima a instalar o malware e, caso esta se recuse a fornecer a palavra-passe do Mac, torna o computador praticamente inutilizável até que o faça.
Embora este tipo de ataque dependa da interação do utilizador, a sua forma de atuação torna-o um dos infostealers para macOS mais sofisticados identificados nos últimos meses.
É importante começar por entender que tipo de malware está em causa. O ClickLock Stealer pertence à categoria dos infostealers, um tipo de malware cujo principal objetivo é roubar informação sensível do computador da vítima.
Em vez de destruir ficheiros ou encriptar o sistema, como acontece com o ransomware, este malware procura recolher o máximo de dados possível, incluindo:
Na prática, basta que um atacante obtenha estes dados para conseguir aceder a contas bancárias, redes sociais, serviços de email ou plataformas de trabalho.
Esquema da cadeia de ataque o malware ClickLock Stealer.
Ao contrário do que muitas pessoas pensam, este malware não invade o computador sozinho.
Os investigadores acreditam que o ataque utiliza a técnica , uma campanha de engenharia social que engana o utilizador para executar um comando malicioso no Terminal do macOS.
O cenário costuma ser semelhante a este:
Ou seja, tecnicamente, é a vítima que acaba por abrir a porta ao atacante.
É aqui que o ClickLock Stealer se distingue de outras ameaças. Depois de instalado, apresenta uma janela muito semelhante às mensagens legítimas do macOS a pedir a palavra-passe do utilizador.
Se a vítima introduzir a palavra-passe, o malware valida-a imediatamente e passa a ter acesso ao Apple Keychain e a outras áreas protegidas do sistema.
Mas se o utilizador cancelar a janela o ataque não para por aí. Mata aplicações de 210 em 210 milissegundos.
Caso a vítima recuse fornecer a palavra-passe, o malware instala mecanismos que permanecem ativos mesmo após reiniciar o computador.
No arranque seguinte, começa a encerrar automaticamente aplicações essenciais do macOS aproximadamente a cada 210 milissegundos, incluindo:
O resultado é um computador praticamente inutilizável. As aplicações desaparecem assim que tentam abrir, dificultando qualquer tentativa de remover a ameaça.
Este comportamento pode manter-se durante várias horas ou até dias, até que a vítima acabe por introduzir a palavra-passe.
Muitos utilizadores pensam que a palavra-passe do Mac serve apenas para iniciar sessão. Na realidade, essa credencial protege vários componentes críticos do sistema.
Com ela, o malware consegue desbloquear o Apple Keychain, onde podem estar armazenadas:
Além disso, o malware consegue obter uma chave de segurança utilizada pelo Google Chrome e por outros navegadores semelhantes para proteger palavras-passe e cookies.
Na prática, isto permite aos atacantes ler essas informações mesmo depois de as copiarem para os seus próprios sistemas.
O roubo de informação não é o único problema. Os investigadores descobriram que o instala ainda um backdoor (porta traseira), permitindo que os atacantes voltem a ligar-se ao computador remotamente mesmo depois de terminado o roubo inicial de dados.
Isto significa que o sistema pode continuar comprometido sem que o utilizador se aperceba.
Segundo a Group-IB, foram identificadas mais de 100 vítimas em 33 países desde maio deste ano, sendo que mais de metade dos casos ocorreram na Europa.
Os investigadores acreditam ainda que o malware continua em desenvolvimento e que novas variantes poderão surgir em breve.
<
p id="caption-attachment-1130459" class="wp-caption-text">Se a palavra-passe for introduzida, o malware acede ao Apple Keychain; se for recusada, passa a matar aplicações de 210 em 210 milissegundos e mantém-se ativo mesmo após reiniciar o sistema.
A boa notícia é que este malware depende quase totalmente da engenharia social.
Algumas recomendações simples reduzem significativamente o risco:
Se, após executar um comando suspeito, o computador começar a fechar aplicações constantemente ou surgir um pedido inesperado da palavra-passe do macOS, não a introduza.
Os especialistas recomendam desligar imediatamente o computador e iniciar o sistema em Modo de Segurança, antes de proceder à remoção da ameaça.
Fonte: Pplware
