Um malware malicioso para macOS pode contornar a verificação em duas etapas do Telegram, roubando carteiras de criptomoedas e permissões de conta

PANews 18 de Julho, de acordo com o FinanceFeeds, investigadores de segurança identificaram uma campanha de malware de info-stealing direcionada a dispositivos macOS que está a atacar utilizadores de criptomoedas. O ataque é conduzido através do sequestro de sessões do Telegram Desktop, da roubo de palavras-passe e de bases de dados de carteiras, permitindo ainda controlar as contas dos utilizadores e furtar ativos digitais. De momento, as carteiras e aplicações afetadas incluem carteiras de software como Exodus, Atomic, Electrum, Wasabi e Monero.

O malware consegue extrair informações sensíveis do macOS Keychain, de cookies do Safari, de notas da Apple, do Telegram Desktop e de várias bases de dados relacionadas com carteiras de criptomoeda, incluindo credenciais de início de sessão, ficheiros de sessões autenticadas, dados da carteira e informações de extensões do browser.

A análise de segurança aponta que o perigo desta cadeia de ataque reside no facto de não depender de uma vulnerabilidade única de uma carteira. Em vez disso, encadeia a intrusão no dispositivo, o sequestro de conta e a quebra da carteira, culminando no roubo de palavras-muda, através da recolha de múltiplos tipos de dados no equipamento. Neste processo, a sessão do Telegram Desktop é um alvo prioritário. Os atacantes podem copiar dados locais de sessão autenticada do Telegram e restaurá-los noutro dispositivo Mac para retomar o início de sessão, sem necessidade de introduzir número de telefone, código de verificação ou a palavra-passe de verificação em duas etapas do Telegram. Isto significa que o Telegram 2FA não consegue fornecer proteção completa neste cenário de ataque, porque o atacante não está a efetuar um novo login; está a explorar uma sessão local já considerada confiável.

Para os utilizadores de criptomoedas, o risco agrava-se ainda mais. Dado que o Telegram é amplamente utilizado para o apoio ao cliente de exchanges, comunidades de projetos, transações OTC e comunicação de carteiras, uma vez que o atacante obtenha permissões da sessão do utilizador, pode passar-se pela identidade da vítima, ler conversas privadas, identificar informações de ativos e, até, divulgar ligações maliciosas aos contactos.