Golpe utiliza página semelhante à de um programa conhecido e induz usuários a executar comandos maliciosos diretamente no Terminal do macOS
Usuários de computadores Mac precisam ficar atentos a uma estratégia de ataque que combina sites falsos, engenharia social e comandos executados pela própria vítima. O golpe utiliza uma página semelhante à do CleanMyMac para distribuir o malware conhecido como SHub Stealer, desenvolvido para buscar informações sensíveis armazenadas no computador.
Um dos principais diferenciais do ataque é a utilização da técnica conhecida como ClickFix. Em vez de instalar automaticamente um arquivo malicioso, a página apresenta instruções para que o usuário abra o Terminal do macOS, copie um comando e execute-o manualmente.
Ao seguir as orientações acreditando estar realizando uma instalação legítima, a própria vítima pode acabar iniciando o malware.
Publicidade
Senhas, cookies e dados pessoais estão entre os alvos
Depois de executado, o programa malicioso pode tentar obter diferentes tipos de informações armazenadas no Mac. Entre os dados visados estão senhas e cookies de navegadores, informações do Keychain da Apple, conteúdo do Apple Notes e sessões do Telegram.
O malware também procura informações relacionadas a aplicativos utilizados para gerenciamento de criptomoedas.
Nesse caso, o risco pode ser ainda maior. A ameaça busca aplicações como Exodus, Ledger e Trezor Suite e pode tentar comprometer arquivos relacionados a esses programas com o objetivo de capturar informações sensíveis, incluindo a chamada frase-semente.
A frase-semente funciona como uma das principais formas de recuperação e acesso a uma carteira de criptomoedas. Caso seja obtida por criminosos, pode permitir que os ativos sejam acessados em outro dispositivo.
Malware tenta permanecer no Mac
Além do roubo de informações, o SHub Stealer pode utilizar mecanismos para tentar continuar funcionando mesmo depois da primeira execução.
Publicidade
Uma das estratégias identificadas é a criação de uma tarefa automática disfarçada de atualizador do Google, dificultando a percepção do usuário de que existe um processo suspeito ativo no computador.
Pedido para usar o Terminal deve acender o alerta
O principal cuidado está justamente no método empregado pelo golpe. Páginas que solicitam que o usuário abra o Terminal, copie comandos de origem desconhecida e os execute manualmente devem ser tratadas com extrema cautela.
Antes de instalar qualquer programa, é importante verificar se o endereço acessado realmente pertence ao desenvolvedor e evitar links recebidos por anúncios, mensagens ou páginas desconhecidas.
Quem já executou um comando suspeito deve evitar utilizar o computador comprometido para acessar e-mail, contas bancárias, redes sociais ou carteiras de criptomoedas até que seja realizada uma avaliação de segurança.
No caso de carteiras digitais, a exposição de uma frase-semente exige atenção especial, já que simplesmente remover o malware posteriormente pode não ser suficiente caso essa informação já tenha sido capturada.