Os utilizadores de macOS voltam a estar na mira dos cibercriminosos. Investigadores de segurança descobriram uma nova ameaça, denominada ClickLock Stealer. Este malware é "bravo" e resulta da engenharia social dirigida a utilizadores Apple.
Este novo malware utiliza uma abordagem particularmente agressiva: em vez de explorar uma vulnerabilidade do sistema operativo, tenta convencer a própria vítima a instalar o malware e, caso esta se recuse a fornecer a palavra-passe do Mac, torna o computador praticamente inutilizável até que o faça.
Embora este tipo de ataque dependa da interação do utilizador, a sua forma de atuação torna-o um dos infostealers para macOS mais sofisticados identificados nos últimos meses.
O que é o malware ClickLock Stealer?
É importante começar por entender que tipo de malware está em causa. O ClickLock Stealer pertence à categoria dos infostealers, um tipo de malware cujo principal objetivo é roubar informação sensível do computador da vítima.
Em vez de destruir ficheiros ou encriptar o sistema, como acontece com o ransomware, este malware procura recolher o máximo de dados possível, incluindo:
- Palavras-passe guardadas nos navegadores;
- Cookies de sessão (que podem permitir aceder a contas sem conhecer a palavra-passe);
- Dados armazenados no Apple Keychain;
- Informação de gestores de palavras-passe;
- Carteiras de criptomoedas;
- Histórico de navegação e credenciais de aplicações.
Na prática, basta que um atacante obtenha estes dados para conseguir aceder a contas bancárias, redes sociais, serviços de email ou plataformas de trabalho.
Esquema da cadeia de ataque o malware ClickLock Stealer.
O ataque começa com engenharia social
Ao contrário do que muitas pessoas pensam, este malware não invade o computador sozinho.
Os investigadores acreditam que o ataque utiliza a técnica ClickFix, uma campanha de engenharia social que engana o utilizador para executar um comando malicioso no Terminal do macOS.
O cenário costuma ser semelhante a este:
- O utilizador visita um website comprometido;
- Surge uma falsa verificação, muitas vezes disfarçada de CAPTCHA ou de uma mensagem da Cloudflare;
- É pedido que copie e cole um comando no Terminal para "confirmar que é humano" ou "resolver um problema de segurança";
- Ao executar esse comando, o próprio utilizador instala o malware no computador.
Ou seja, tecnicamente, é a vítima que acaba por abrir a porta ao atacante.
O que acontece depois da instalação?
É aqui que o ClickLock Stealer se distingue de outras ameaças. Depois de instalado, apresenta uma janela muito semelhante às mensagens legítimas do macOS a pedir a palavra-passe do utilizador.
Se a vítima introduzir a palavra-passe, o malware valida-a imediatamente e passa a ter acesso ao Apple Keychain e a outras áreas protegidas do sistema.
Mas se o utilizador cancelar a janela o ataque não para por aí. Mata aplicações de 210 em 210 milissegundos.
Caso a vítima recuse fornecer a palavra-passe, o malware instala mecanismos que permanecem ativos mesmo após reiniciar o computador.
No arranque seguinte, começa a encerrar automaticamente aplicações essenciais do macOS aproximadamente a cada 210 milissegundos, incluindo:
- Finder;
- Dock;
- Spotlight;
- Terminal;
- Monitor de Atividade;
- Navegadores de Internet.
O resultado é um computador praticamente inutilizável. As aplicações desaparecem assim que tentam abrir, dificultando qualquer tentativa de remover a ameaça.
Este comportamento pode manter-se durante várias horas ou até dias, até que a vítima acabe por introduzir a palavra-passe.
Porque é que os atacantes querem a palavra-passe?
Muitos utilizadores pensam que a palavra-passe do Mac serve apenas para iniciar sessão. Na realidade, essa credencial protege vários componentes críticos do sistema.
Com ela, o malware consegue desbloquear o Apple Keychain, onde podem estar armazenadas:
- Credenciais de websites;
- Chaves criptográficas;
- Certificados digitais;
- Redes Wi-Fi;
- Dados utilizados por aplicações de autenticação.
Além disso, o malware consegue obter uma chave de segurança utilizada pelo Google Chrome e por outros navegadores semelhantes para proteger palavras-passe e cookies.
Na prática, isto permite aos atacantes ler essas informações mesmo depois de as copiarem para os seus próprios sistemas.
O malware instala também uma "porta traseira"
O roubo de informação não é o único problema. Os investigadores descobriram que o ClickLock Stealer instala ainda um backdoor (porta traseira), permitindo que os atacantes voltem a ligar-se ao computador remotamente mesmo depois de terminado o roubo inicial de dados.
Isto significa que o sistema pode continuar comprometido sem que o utilizador se aperceba.
Quem está a ser afetado?
Segundo a Group-IB, foram identificadas mais de 100 vítimas em 33 países desde maio deste ano, sendo que mais de metade dos casos ocorreram na Europa.
Os investigadores acreditam ainda que o malware continua em desenvolvimento e que novas variantes poderão surgir em breve.
Se a palavra-passe for introduzida, o malware acede ao Apple Keychain; se for recusada, passa a matar aplicações de 210 em 210 milissegundos e mantém-se ativo mesmo após reiniciar o sistema.
Como se pode proteger deste malware?
A boa notícia é que este malware depende quase totalmente da engenharia social.
Algumas recomendações simples reduzem significativamente o risco:
- Nunca copie nem execute comandos no Terminal sugeridos por websites desconhecidos;
- Desconfie de páginas que peçam para "confirmar que é humano" através do Terminal;
- Instale aplicações apenas a partir da App Store ou de programadores reconhecidos;
- Mantenha o macOS sempre atualizado;
- Utilize um software de segurança capaz de detetar ameaças recentes.
Se, após executar um comando suspeito, o computador começar a fechar aplicações constantemente ou surgir um pedido inesperado da palavra-passe do macOS, não a introduza.
Os especialistas recomendam desligar imediatamente o computador e iniciar o sistema em Modo de Segurança, antes de proceder à remoção da ameaça.
