Malware para macOS rouba carteiras de criptomoedas e sequestra contas do Telegram, alerta SlowMist

Um malware para macOS que rouba informações pode sequestrar sessões do Telegram Desktop e comprometer carteiras de criptomoedas, de acordo com a empresa de segurança blockchain SlowMist.

O malware coleta dados do Keychain do macOS, cookies do Safari, Apple Notes, Telegram Desktop e bancos de dados associados a mais de uma dúzia de carteiras de criptomoedas.

Após coletar senhas e sessões autenticadas, o malware copia os dados de sessão autenticada do Telegram Desktop dos usuários, os bancos de dados da carteira e os dados da extensão da carteira do navegador.

A SlowMist afirmou que os atacantes podem então tentar descriptografar os bancos de dados das carteiras roubadas offline, usando senhas obtidas do dispositivo infectado, ou substituir os aplicativos legítimos da Ledger e da Trezor por versões falsas que enganam os usuários para que insiram suas frases de recuperação. A empresa de segurança reproduziu a cadeia de ataque em um ambiente isolado.

Código malicioso para macOS usado para roubar chaves e senhas. Fonte: SlowMist

Malware para macOS tem como alvo carteiras de criptomoedas populares

Segundo a SlowMist, o malware combina múltiplas técnicas em uma cadeia de ataque coordenada, permitindo que os invasores utilizem diferentes métodos para comprometer contas e carteiras de criptomoedas.

De acordo com a SlowMist, o malware tem como alvo carteiras de software, incluindo Exodus, Atomic, Electrum, Wasabi e Monero, bem como aplicativos de carteira de hardware, como Ledger Live e Trezor Suite. Ele também busca dados de carteira armazenados por clientes full-node, incluindo Bitcoin Core, Litecoin Core, Dash Core e Dogecoin Core.

De acordo com a SlowMist, a verificação em duas etapas do Telegram não impede o ataque porque o malware reutiliza uma sessão local autenticada em vez de criar um novo login. Em testes, pesquisadores conseguiram restaurar dados roubados de uma sessão do Telegram Desktop em outro Mac sem precisar inserir um número de telefone, código de verificação ou senha de autenticação em duas etapas.

A SlowMist recomendou aos usuários que suspeitam que seus dispositivos foram comprometidos que encerrem imediatamente as sessões do Telegram, criem um novo login confiável e alterem tanto a senha de verificação em duas etapas do Telegram quanto a senha do Telegram Desktop. A empresa também recomendou gerar uma nova frase de recuperação em um dispositivo limpo e transferir todos os arquivos para novos endereços.