Malware no macOS sequestra sessão do Telegram e mira carteiras de criptomoedas

Um malware para macOS está roubando credenciais para sequestrar sessões do Telegram Desktop e comprometer carteiras de criptomoedas, de acordo com a empresa de segurança blockchain SlowMist. O malware coleta dados do Keychain do macOS, cookies do Safari, Apple Notes, Telegram Desktop e bancos de dados de mais de uma dúzia de carteiras de criptomoedas.

Após coletar senhas e sessões autenticadas, o malware copia os dados da sessão autenticada do Telegram Desktop, bancos de dados de carteiras e dados de extensões de carteiras de navegador. A SlowMist reproduziu a cadeia de ataques em um ambiente isolado e confirmou que invasores podem tentar descriptografar os bancos de dados roubados offline usando senhas coletadas do dispositivo infectado.

Por que a verificação em duas etapas do Telegram não impede o ataque?

Segundo a SlowMist, a verificação em duas etapas do Telegram não impede o ataque porque o malware reutiliza uma sessão local autenticada em vez de criar um novo login. Em testes, os pesquisadores restauraram os dados da sessão roubada do Telegram Desktop em outro Mac sem inserir número de telefone, código de verificação ou senha de verificação em duas etapas.

O malware também pode substituir aplicativos legítimos da Ledger e Trezor por versões falsas que enganam os usuários para que insiram suas frases de recuperação. A SlowMist afirma que o malware combina múltiplas técnicas em uma cadeia de ataque coordenada, permitindo que invasores busquem diferentes métodos para comprometer contas e carteiras de criptomoedas.

As carteiras de software visadas incluem Exodus, Atomic, Electrum, Wasabi e Monero, além de aplicativos de carteiras de hardware como Ledger Live e Trezor Suite. O malware também procura dados de carteiras armazenados por clientes full-node como Bitcoin Core, Litecoin Core, Dash Core e Dogecoin Core.

A SlowMist recomenda que usuários que suspeitam que seus dispositivos foram comprometidos encerrem imediatamente as sessões existentes do Telegram, estabeleçam um novo login confiável e alterem tanto a senha de verificação em duas etapas do Telegram quanto o código de acesso do Telegram Desktop. A empresa também sugere gerar uma nova frase de recuperação em um dispositivo limpo e transferir todos os ativos para novos endereços.

Perguntas frequentes

Como o malware consegue acessar minha carteira de criptomoedas sem minha senha?

O malware coleta senhas armazenadas no Keychain do macOS e em bancos de dados de carteiras. Com essas senhas, os invasores podem descriptografar os arquivos das carteiras offline, obtendo acesso aos fundos sem precisar interagir com o usuário.

O que devo fazer se achar que fui infectado?

Encerre imediatamente todas as sessões ativas do Telegram, crie um novo login confiável e altere a senha de verificação em duas etapas e o código de acesso do Telegram Desktop. Em seguida, gere uma nova frase de recuperação em um dispositivo limpo e transfira todos os ativos para novos endereços de carteira.