Category: Malware

Vírus para macOS rouba Chaves do iCloud e cookies do navegador

23 de agosto de 2024

Vírus para macOS rouba Chaves do iCloud e cookies do navegador

Malware batizado de Cthulhu Stealer se passa até pelo GTA IV para roubar senhas nos Macs (imagem ilustrativa: Vitor Pádua/Tecnoblog)

Pesquisadores da Cato Networks encontraram um vírus para macOS que é capaz de roubar senhas do Chaves do iCloud, local de armazenamento de logins dos Macs. Batizado de Cthulhu Stealer, o malware é um clássico cavalo de Troia, se passando por programas reais para infectar o dispositivo. O programa malicioso continua ativo, ainda que o grupo responsável por ele não exista mais — ele funcionava como um Malware-as-a-Service.

O vírus afeta tanto Macs com processadores Intel quanto os modelos com chips da Apple. Entre os programas pelo qual o Cthulhu Stealer se passa estão o GTA IV, CleanMyMac e Adobe GenP. Este é um software que ativa o Creative Cloud e permite usar os programas da Adobe sem uma chave de ativação.

Malware pede senha do sistema após execução

Após o usuário autorizar a execução do programa, passando por cima do aviso do Gatekeeper, o Cthulhu Stealer pede a senha do Mac. Isso permite que o malware tenha acesso a informações do sistema e roube os dados do Chaves do iCloud — iCloud KeyChain em inglês.

Cthulhu Stealer pedia senha do sistema após sua execução ser liberada no Gatekeeper (Imagem: Reprodução/ The Hacker News)

O malware também pede que o usuário digite a senha do MetaMask, uma carteira digital de criptomoedas, caso tenha uma. Mas com o acesso ao iCloud KeyChain, os hackers podem acessar senhas salvas nessas carteiras, plataformas de jogos (Steam, Epic) e e-commerces. Segundo a Cato Networks, o Cthulhu Stealer ainda captura cookies do navegador e informações do Telegram.

Apple e a “sensação de segurança”

macOS Sequoia terá uma etapa extra para que usuários autorizem execução de apps não aprovados pelo Gatekeeper (Imagem: Reprodução/Apple)

Um dos riscos para a propagação do Cthulhu Stealer é a alta confiança dos usuários do macOS e iOS na segurança dos dispositivos. Ainda que sistemas Windows e Linux sejam os principais alvos de hackers, isso não deixa o Mac imune a ataques.

Para resolver casos similares, a Apple lançará no macOS Sequoia o bom e velho método de encher o saco. Se o Gatekeeper não validar a assinatura do programa, o usuário terá que abrir as configurações, entrar no menu Privacidade e Segurança e aí sim aprovar a execução do programa.

Uma solução simples, mas muito efetiva para aqueles usuários que não querem muito esforço para rodar um programa qualquer.

Com informações: 9to5Mac e The Hacker News
Vírus para macOS rouba Chaves do iCloud e cookies do navegador

Vírus para macOS rouba Chaves do iCloud e cookies do navegador
Fonte: Tecnoblog

Malware usa NFC de celular Android para roubar dados de cartões

22 de agosto de 2024

Malware usa NFC de celular Android para roubar dados de cartões

NFC do celular é capaz de ler cartões próximos (imagem: Emerson Alecrim / Tecnoblog)

Um novo malware para Android chamado NGate usa o chip NFC de smartphones para clonar cartões, podendo usá-los em pagamentos e saques. O ataque vai além da parte técnica, envolvendo uma boa dose de engenharia social para conseguir levar as vítimas a baixar o app infectado e fornecer as informações necessárias para as transações.

As informações foram compartilhadas pela empresa de cibersegurança Eset, em um blog post publicado nesta quarta-feira (dia 22/08). Segundo a empresa, é a primeira vez que um ataque usando NFC desta forma é detectado. Os criminosos agiam na Tchéquia (anteriormente conhecida como República Tcheca) — um deles foi preso em Praga, capital do país, após fazer vários saques em sequência.

New Android malware – #NGate – relays NFC data from victims’ payment cards, via victims’ compromised mobile phones, to attacker’s device waiting at an ATM to withdraw cashhttps://t.co/aM4v0lC6we pic.twitter.com/3MPRPe7qUB— Lukas Stefanko (@LukasStefanko) August 22, 2024

Ataque usa sites falsos com apps maliciosos

Segundo os pesquisadores, um possível cenário para o ataque começa com mensagens de texto e ligações pré-gravadas. O objetivo deste contato é levar a vítima a instalar um aplicativo web (PWA) malicioso. Os links indicados levam a páginas que imitam a Google Play Store e sites de bancos. Os textos levam a crer que uma atualização urgente é necessária para a segurança do correntista.

O primeiro aplicativo instalado não pede permissões, já que consegue explorar a API do navegador para acessar os componentes de hardware necessários. O segundo passo é instalar um componente chamado NFCGate, desenvolvido por universidades para testar e experimentar chips de NFC, para fins de estudo e pesquisa.

Para isso, os atacantes recorrem mais uma vez à engenharia social. Um membro da quadrilha liga para a vítima e finge ser do banco, informando ao cliente que houve um incidente de segurança. O criminoso envia um link para baixar o NGate, que inclui o NFCGate. É com este componente que os criminosos conseguem obter informações de cartões próximos ao celular.

Golpistas fingem ser do banco para roubar senhas

A Eset considera algumas possibilidades de ataque a partir deste ponto. Em uma delas, o criminoso entra em contato por falsa central de atendimento e pede que o cliente troque a senha. Aí vem o truque: os responsáveis pelo ataque pedem que ele digite a senha antiga, a nova e aproxime o cartão do aparelho para gravar a mudança.

NFC pode ser desativado (Imagem: Ana Marques / Tecnoblog)

Tudo isso, na verdade, serve para roubar os dados e a senha. Estas informações são transmitidas aos golpistas, que podem clonar o sinal da aproximação. Usando outro celular Android, eles enganam maquininhas de pagamento e caixas eletrônicos.

Os pesquisadores consideram outra possibilidade: roubar dados de cartões em bolsas, mochilas ou carteiras em locais públicos, com muitas pessoas. Desse jeito, porém, os ladrões não teriam a senha, podendo fazer apenas pagamentos de pequeno valor.

A Eset considera que o método empregado usando este malware não funcionaria em cartões armazenados no Google Pay e Apple Pay, já que ambas exigem autenticação para cada pagamento usando NFC.

Os pesquisadores recomendam algumas ações para se proteger de ataques como estes:

conferir a autenticidade de sites;

baixar apps apenas de fontes oficiais, como a Play Store;

manter senhas em segredo;

desligar o NFC quando ele não está sendo usado;

colocar cartões em carteiras com proteção contra RFID;

usar versões digitais de cartões nas carteiras de smartphones.

Com informações: Eset, Bleeping Computer
Malware usa NFC de celular Android para roubar dados de cartões

Malware usa NFC de celular Android para roubar dados de cartões
Fonte: Tecnoblog

Inteligência artificial adivinha senha só de ouvir sons do teclado

7 de agosto de 2023

Inteligência artificial adivinha senha só de ouvir sons do teclado

Se você tem medo da inteligência artificial, prepare seu coração para esta notícia. Pesquisadores conseguiram criar um modelo que ouve o barulho das teclas e, a partir desses sons, consegue deduzir o que foi digitado, com precisão de 95%. Isso pode ser usado para descobrir senhas e outras informações.

IA é capaz de aprender barulho de cada tecla (Imagem: Lucas Santos/Unsplash)

O trabalho foi feito por especialistas de universidades britânicas. Em um artigo, eles detalham um ataque que seria possível com um modelo de inteligência artificial e um smartphone. Colocado próximo a um computador, o aparelho capturaria o som das teclas.

No teste feito com um MacBook Pro, o modelo foi capaz de adivinhar as teclas com 95% de precisão. O smartphone, porém, nem seria tão necessário. Uma chamada pelo Zoom poderia ser usada para capturar os sons, com 93% de precisão. Pelo Skype, o método atinge 91,6%.

Como funciona o modelo

O modelo de inteligência artificial precisa de treinamento para adivinhar o que é digitado.

Como fazer isso? Pode ser usando um malware, para cruzar o som das teclas com o conteúdo. Outro método seria ter acesso a uma reunião de Zoom ou Skype e registrar as mensagens enviadas, criando uma correlação entre elas e o som gravado.

Nos testes, os cientistas conseguiram coletar dados suficientes para o treinamento apertando 36 teclas, 25 vezes cada. Depois, eles transformaram os sons em formas de ondas e espectrogramas, isolando cada tecla.

Os espectrogramas foram usados para treinar um algoritmo classificador de imagens, o CoAtNet. Após alguns experimentos com os parâmetros, o modelo foi capaz de adivinhar o que estava sendo digitado com até 95% de precisão.

Como se proteger

O ataque só foi descrito neste artigo e ainda não foi encontrado fazendo vítimas por aí. Mesmo assim, fica a pergunta: se isso é possível, o que fazer para se proteger?

A principal recomendação é usar senhas com maiúsculas e minúsculas, alternando entre as duas aleatoriamente. Segundo o artigo, nenhum método foi capaz de identificar quando o usuário solta a tecla Shift.

Outras possibilidades são:

Adicionar sons artificiais de teclas durante chamadas, como forma de esconder o que está sendo realmente digitado.

Usar autenticação de dois fatores, para que atacantes não consigam acesso aos dados apenas com a senha.

Ativar proteções biométricas, que não dependem do teclado para funcionar.

Silenciar o microfone ao digitar alguma coisa durante reuniões por vídeo.

Por fim, uma recomendação não mencionada pelo artigo, mas que pode ajudar, é usar gerenciadores de senhas. Eles poupam o trabalho de digitar senhas. Assim, seu teclado não faz barulho, e invasores não teriam como adivinhar suas combinações.

Com informações: Digital Trends, Bleeping Computer, arXiv (PDF)
Inteligência artificial adivinha senha só de ouvir sons do teclado

Inteligência artificial adivinha senha só de ouvir sons do teclado
Fonte: Tecnoblog

Microsoft quer ajudar a detectar um malware quase indetectável

13 de abril de 2023

Microsoft quer ajudar a detectar um malware quase indetectável

A Microsoft disponibilizou algumas dicas para detectar um malware difícil de encontrar chamado BlackLotus. Esse tipo de vírus é bastante sofisticado e tem como alvo o Unified Extensible Firmware Interface (UEFI), que é a primeira coisa a ativar quando ligamos o computador. Por funcionar antes do próprio sistema operacional do PC, ele consegue se “esconder” do antivírus e ficar na máquina mesmo se tudo for reinstalado ou se houver a troca de HD.

Antivírus (Imagem: Unsplash / Dimitri Karastelev)

Segundo a Microsoft, os cibercriminosos usam a vulnerabilidade CVE-2022-21894 para implantar o BlackLotus UEFI Bootkit na máquina da vítima. Porém, a empresa de Redmond apontou a análise de certas partes para tentar identificar o vírus:

Arquivos do carregador de inicialização criados e bloqueados recentemente;

Presença de um diretório de preparo usado durante a instalação do BlackLotus no EPS:/ sistema de arquivos;

Modificação da chave do Registro para a Integridade de Código Protegida pelo Hipervisor (HVCI);

Logs de rede;

Logs de configuração de inicialização;

Artefatos de partição de inicialização.

Além disso, como o malware utiliza a vulnerabilidade CVE-2022-21894, é possível proteger o seu dispositivo se você usar um patch para resolver essa questão previamente.

A Microsoft também sugere para “evitar o uso de contas de serviço no nível de administrador. Restringir privilégios administrativos locais pode ajudar a limitar a instalação de cavalos de Tróia de acesso remoto (RATs) e outros aplicativos indesejados”.

Detectar o vírus é o primeiro passo para removê-lo (Imagem: Reprodução / Internet)

BlackLotus custa mais de R$ 20 mil

Esse vírus está disponível desde 2022 em diversos fóruns de hackers e similares. Em seu anúncio de venda, os cibercriminosos dizem que o malware consegue evitar a detecção de antivírus, resistir a tentativas de remoção e pode desabilitar vários recursos de segurança.

Dessa forma, o preço de uma licença é por volta de US$ 5 mil (perto de R$ 24 mil em uma conversão direta), enquanto rebuilds estão custando US$ 200 (em torno de R$ 984).

Os vendedores afirmam que o BlackLotus tem proteção Ring0/Kernel integrada contra remoção, consegue iniciar no modo de recuperação ou segurança, além de ter o recurso de bypass de Inicialização Segura integrado.

De acordo com a Microsoft, depois de identificar o malware no computador, a pessoa precisa remover o dispositivo da rede e reinstalá-lo com um sistema operacional limpo e partição EFI. Ademais, um usuário pode restaurar o sistema a partir de um backup limpo com uma partição EFI.

Com informações: Bleeping Computer.
Microsoft quer ajudar a detectar um malware quase indetectável

Microsoft quer ajudar a detectar um malware quase indetectável
Fonte: Tecnoblog