Um malware para macOS pode burlar a verificação em duas etapas do Telegram, roubando carteiras de criptomoedas e permissões de conta

PANews, 18 de julho, de acordo com o FinanceFeeds, pesquisadores de segurança identificaram um malware de roubo de informações voltado a dispositivos macOS que está atacando usuários de cripto. Ele se vale do sequestro de sessões do Telegram Desktop, da captura de senhas e do roubo de bancos de dados de carteiras, entre outras técnicas, para controlar ainda mais as contas dos usuários e furtar ativos digitais. Atualmente, as carteiras e aplicativos afetados incluem carteiras de software como Exodus, Atomic, Electrum, Wasabi, Monero, entre outros. O malware consegue extrair informações sensíveis do macOS Keychain, de cookies do Safari, do Apple Notes, do Telegram Desktop e de diversos bancos de dados relacionados a carteiras cripto. Entre os dados retirados estão credenciais de login, arquivos de sessões já autenticadas, dados da carteira e informações de extensões do navegador.

A análise de segurança aponta que o risco da cadeia de ataque está no fato de não depender de uma única vulnerabilidade em uma carteira. Em vez disso, ela reúne diferentes tipos de dados do dispositivo para interligar invasão do dispositivo, tomada de conta, quebra da carteira e roubo de frases-mnemônicas. Nesse contexto, a sessão do Telegram Desktop se torna um alvo prioritário. Os atacantes podem copiar os dados locais de sessão autenticada do Telegram e restaurar o login em outro Mac, sem precisar inserir número de telefone, código de verificação ou senha de verificação em duas etapas do Telegram. Isso significa que o 2FA do Telegram não consegue fornecer proteção completa nesse cenário de ataque, pois o invasor não está realizando um novo login: está explorando uma sessão local já confiável.

Para usuários de cripto, o risco aumenta ainda mais. Como o Telegram é amplamente usado para suporte ao cliente de exchanges, comunidades de projetos, negociações OTC e comunicação entre carteiras, uma vez que o atacante obtenha permissões de sessão do usuário, ele pode se passar pela vítima, ler conversas privadas, identificar informações de ativos e até mesmo espalhar links maliciosos para contatos.