Novo malware para macOS “mata” as aplicações até as vítimas introduzirem a sua password

Os utilizadores de macOS voltam a estar na mira dos cibercriminosos. Investigadores de segurança descobriram uma nova ameaça, denominada ClickLock Stealer. Este malware é "bravo" e resulta da engenharia social dirigida a utilizadores Apple.

Este novo malware utiliza uma abordagem particularmente agressiva: em vez de explorar uma vulnerabilidade do sistema operativo, tenta convencer a própria vítima a instalar o malware e, caso esta se recuse a fornecer a palavra-passe do Mac, torna o computador praticamente inutilizável até que o faça.

Embora este tipo de ataque dependa da interação do utilizador, a sua forma de atuação torna-o um dos infostealers para macOS mais sofisticados identificados nos últimos meses.

O que é o malware ClickLock Stealer?

É importante começar por entender que tipo de malware está em causa. O ClickLock Stealer pertence à categoria dos infostealers, um tipo de malware cujo principal objetivo é roubar informação sensível do computador da vítima.

Em vez de destruir ficheiros ou encriptar o sistema, como acontece com o ransomware, este malware procura recolher o máximo de dados possível, incluindo:

• Palavras-passe guardadas nos navegadores;
• Cookies de sessão (que podem permitir aceder a contas sem conhecer a palavra-passe);
• Dados armazenados no Apple Keychain;
• Informação de gestores de palavras-passe;
• Carteiras de criptomoedas;
• Histórico de navegação e credenciais de aplicações.

Na prática, basta que um atacante obtenha estes dados para conseguir aceder a contas bancárias, redes sociais, serviços de email ou plataformas de trabalho.

Esquema da cadeia de ataque o malware ClickLock Stealer.

O ataque começa com engenharia social

Ao contrário do que muitas pessoas pensam, este malware não invade o computador sozinho.

Os investigadores acreditam que o ataque utiliza a técnica ClickFix, uma campanha de engenharia social que engana o utilizador para executar um comando malicioso no Terminal do macOS.

O cenário costuma ser semelhante a este:

• O utilizador visita um website comprometido;
• Surge uma falsa verificação, muitas vezes disfarçada de CAPTCHA ou de uma mensagem da Cloudflare;
• É pedido que copie e cole um comando no Terminal para "confirmar que é humano" ou "resolver um problema de segurança";
• Ao executar esse comando, o próprio utilizador instala o malware no computador.

Ou seja, tecnicamente, é a vítima que acaba por abrir a porta ao atacante.

O que acontece depois da instalação?

É aqui que o ClickLock Stealer se distingue de outras ameaças. Depois de instalado, apresenta uma janela muito semelhante às mensagens legítimas do macOS a pedir a palavra-passe do utilizador.

Se a vítima introduzir a palavra-passe, o malware valida-a imediatamente e passa a ter acesso ao Apple Keychain e a outras áreas protegidas do sistema.

Mas se o utilizador cancelar a janela o ataque não para por aí. Mata aplicações de 210 em 210 milissegundos.

Caso a vítima recuse fornecer a palavra-passe, o malware instala mecanismos que permanecem ativos mesmo após reiniciar o computador.

No arranque seguinte, começa a encerrar automaticamente aplicações essenciais do macOS aproximadamente a cada 210 milissegundos, incluindo:

• Finder;
• Dock;
• Spotlight;
• Terminal;
• Monitor de Atividade;
• Navegadores de Internet.

O resultado é um computador praticamente inutilizável. As aplicações desaparecem assim que tentam abrir, dificultando qualquer tentativa de remover a ameaça.

Este comportamento pode manter-se durante várias horas ou até dias, até que a vítima acabe por introduzir a palavra-passe.

Porque é que os atacantes querem a palavra-passe?

Muitos utilizadores pensam que a palavra-passe do Mac serve apenas para iniciar sessão. Na realidade, essa credencial protege vários componentes críticos do sistema.

Com ela, o malware consegue desbloquear o Apple Keychain, onde podem estar armazenadas:

• Credenciais de websites;
• Chaves criptográficas;
• Certificados digitais;
• Redes Wi-Fi;
• Dados utilizados por aplicações de autenticação.

Além disso, o malware consegue obter uma chave de segurança utilizada pelo Google Chrome e por outros navegadores semelhantes para proteger palavras-passe e cookies.

Na prática, isto permite aos atacantes ler essas informações mesmo depois de as copiarem para os seus próprios sistemas.

O malware instala também uma "porta traseira"

O roubo de informação não é o único problema. Os investigadores descobriram que o ClickLock Stealer instala ainda um backdoor (porta traseira), permitindo que os atacantes voltem a ligar-se ao computador remotamente mesmo depois de terminado o roubo inicial de dados.

Isto significa que o sistema pode continuar comprometido sem que o utilizador se aperceba.

Quem está a ser afetado?

Segundo a Group-IB, foram identificadas mais de 100 vítimas em 33 países desde maio deste ano, sendo que mais de metade dos casos ocorreram na Europa.

Os investigadores acreditam ainda que o malware continua em desenvolvimento e que novas variantes poderão surgir em breve.

Se a palavra-passe for introduzida, o malware acede ao Apple Keychain; se for recusada, passa a matar aplicações de 210 em 210 milissegundos e mantém-se ativo mesmo após reiniciar o sistema.

Como se pode proteger deste malware?

A boa notícia é que este malware depende quase totalmente da engenharia social.

Algumas recomendações simples reduzem significativamente o risco:

• Nunca copie nem execute comandos no Terminal sugeridos por websites desconhecidos;
• Desconfie de páginas que peçam para "confirmar que é humano" através do Terminal;
• Instale aplicações apenas a partir da App Store ou de programadores reconhecidos;
• Mantenha o macOS sempre atualizado;
• Utilize um software de segurança capaz de detetar ameaças recentes.

Se, após executar um comando suspeito, o computador começar a fechar aplicações constantemente ou surgir um pedido inesperado da palavra-passe do macOS, não a introduza.

Os especialistas recomendam desligar imediatamente o computador e iniciar o sistema em Modo de Segurança, antes de proceder à remoção da ameaça.