Huntress

Um novo malware baseado em Go, identificado em ataques ClickFix, está atacando usuários do macOS e roubando ativos de criptomoedas, senhas armazenadas em navegadores, dados do Apple Keychain e credenciais em cache. O malware é capaz de interceptar e redirecionar transações de várias criptomoedas, podendo esvaziar carteiras ou desviar uma porcentagem dos fundos. A descoberta foi feita pela Huntress, que analisou o incidente após um ataque ClickFix. O malware é instalado através de um script Bash que coleta informações do sistema e baixa um payload específico para a arquitetura do processador da vítima. Além de roubar credenciais, o malware modifica transações de criptomoedas antes de serem assinadas, permitindo que o atacante desvie uma parte dos fundos. Os pesquisadores identificaram que o malware se comunica com endereços IP associados a uma corporação russa sancionada, conhecida como Aeza Group, que oferece serviços de hospedagem para grupos de ransomware. Este incidente destaca a necessidade de vigilância constante e testes de segurança para evitar que ameaças passem despercebidas.

Uma ferramenta de adware digitalmente assinada foi identificada como responsável por desativar proteções antivírus em milhares de dispositivos, afetando setores críticos como educação, utilidades, governo e saúde. Pesquisadores da Huntress descobriram a campanha em 22 de março, quando executáveis assinados, considerados programas indesejados (PUPs), geraram alertas em ambientes gerenciados. A empresa Dragon Boss Solutions LLC, envolvida em atividades de monetização de busca, é a responsável pela distribuição de ferramentas que, embora rotuladas como navegadores, são detectadas como PUPs. Além de exibir anúncios, essas ferramentas possuem um mecanismo de atualização avançado que implanta um ‘killer’ de antivírus. O processo de atualização é silencioso e executa payloads com privilégios elevados, desativando produtos de segurança como Malwarebytes e Kaspersky. A Huntress registrou um domínio de atualização não registrado, permitindo que eles monitorassem conexões de milhares de dispositivos comprometidos. A operação já afetou 23.500 hosts em 124 países, incluindo instituições acadêmicas e redes de infraestrutura crítica. A Huntress alerta que, embora a ferramenta atualmente utilize um desativador de antivírus, mecanismos para implantar payloads mais perigosos estão em vigor, representando um risco significativo para a segurança cibernética.