Un malware para macOS puede eludir la verificación de doble factor de Telegram, robando billeteras cripto y permisos de cuenta

PANews 18 de julio, según FinanceFeeds, investigadores de seguridad han descubierto un malware de robo de información dirigido a dispositivos macOS que está atacando a usuarios cripto. El método consiste en secuestrar las sesiones de Telegram Desktop, robar contraseñas y bases de datos de monederos, entre otras acciones, para tomar el control de las cuentas de los usuarios y robar activos digitales. Los monederos y aplicaciones afectados actualmente incluyen monederos de software como Exodus, Atomic, Electrum, Wasabi, Monero y otros. El malware puede extraer información sensible de macOS Keychain, cookies de Safari, Apple Notes, Telegram Desktop y varias bases de datos relacionadas con monederos cripto, incluyendo credenciales de inicio de sesión, archivos de sesión autenticada, datos del monedero e información de extensiones del navegador.

El análisis de seguridad señala que el peligro de esta cadena de ataque es que no depende de una vulnerabilidad única en un monedero. En su lugar, enlaza la intrusión del dispositivo, el secuestro de cuentas, el descifrado del monedero y el robo de frases mnemónicas mediante la recopilación de diversos tipos de datos del equipo. Entre ellos, la sesión de Telegram Desktop se convierte en el objetivo principal. Los atacantes pueden copiar los datos locales de una sesión autenticada de Telegram y restaurar el inicio de sesión en otro dispositivo Mac, sin necesidad de introducir el número de teléfono, el código de verificación ni la contraseña de verificación en dos pasos de Telegram. Esto significa que la Telegram 2FA no puede ofrecer una protección completa en este escenario de ataque, porque el atacante no está realizando un nuevo inicio de sesión, sino que está aprovechando una sesión local ya confiada.

Para los usuarios de cripto, el riesgo aumenta aún más. Dado que Telegram se utiliza ampliamente para el soporte al cliente de exchanges, comunidades de proyectos, operaciones OTC y la comunicación con monederos, una vez que un atacante obtiene permisos de sesión del usuario, podría hacerse pasar por la identidad de la víctima, leer chats privados, ubicar información de activos e incluso difundir enlaces maliciosos a los contactos.