Pesquisadores da Moonlock (divisão do CleanMyMac X dedicada à descoberta e à remoção malwares) descobriram uma cadeia sofisticada de ameaças usada por cibercriminosos para roubar dados de usuários de Macs, resultado que é alcançado principalmente por phishing e pela simulação de softwares famosos.
A trapaça foi descoberta pela equipe graças a um anúncio no Google usado para supostamente promover o Loom, um aplicativo genuíno de gravação para o macOS. Clicar no link do anúncio levava a um site praticamente idêntico ao oficial — menos pela URL claramente incondizente com a verdadeira.
Ao clicar no link “Obter o Loom gratuitamente”, as vítimas passam por uma série de redirecionamentos (usados para dificultar a detecção por mecanismos de segurança) e, enfim, acabavam baixando um arquivo malicioso (e não o app do Loom), projetado visando o roubo de dados no sistema operacional.
Investigando mais a fundo o caso, a Moonlock descobriu que o Loom não é a única isca utilizada pelos golpistas. Como mostra a imagem abaixo, aplicativos como Figma, Tunnelblick e Callzy também foram alvos dos criminosos. Em alguns casos, um aplicativo inteiro é “clonado” para permitir uma ação ainda mais profunda do malware.
É o caso de um clone do Ledger Live (um aplicativo para gerenciamento de ativos de criptomoedas), o qual possui aparência muito semelhante e substitui por completo o software oficial, podendo então acessar diretamente as carteiras das vítimas, acarretando em perdas financeiras irreparáveis.
Além de anúncios no Google, outro método utilizado para os ataques são as campanhas patrocinadas no YouTube. Se passando por representantes de um jogo de RPG 1Role-playing game, ou jogo de interpretação de papéis. chamado Black Desert Online, os criminosos oferecem planos de publicidade para YouTubers, como mostra uma captura publicada no Reddit.
Mas quem está por trás desse esquema? Tudo indica que trata-se de um grupo denominado Crazy Evil, o qual chegou a publicar anúncios de recrutamento em páginas na dark web. Inclusive, um dos endereços de IP utilizados no phishing do Loom estaria ligado a uma entidade governamental.
De qualquer forma, como medidas para se proteger de ataques do gênero, é bom prestar muita atenção a links e arquivos obtidos por meio de anúncios do Google, bem como manter apps de varredura (como o CleanMyMac X, com a proteção da Moonlock integrada) para detectar qualquer ameaça.
NOTA DE TRANSPARÊNCIA: O MacMagazine recebe uma pequena comissão sobre vendas concluídas por meio de links deste post, mas você, como consumidor, não paga nada mais pelos produtos comprando pelos nossos links de afiliado.
via Macworld
Notas de rodapé
- 1Role-playing game, ou jogo de interpretação de papéis.
