Vírus para macOS mira cookies de sites de criptomoeda e mensagens SMS do iPhone

IMAGEaHR0cHM6Ly9zdGF0aWMuZ2FtZXZpY2lvLmNvbS9pbWFnZW5zL3VwbG9hZC9iaWcvMS8wMDAxNjEuanBn

A empresa de segurança Palo Alto Networks publicou uma análise do comportamento de uma praga digital que ataca usuários do sistema macOS usado nos computadores da Apple, como as linhas MacBook e iMac.

Batizado de "CookieMiner", o código é capaz de roubar os cookies armazenados nos navegadores Safari e Chrome e varre os backups do iTunes para encontrar mensagens SMS do iPhone com a finalidade de roubar as carteiras de criptomoedas.

Cookies são arquivos que guardam informações sobre os sites visitados. Quando um site "lembra" de um internauta para que não seja preciso digitar novamente a senha e a conta do cadastro, isso acontece porque o navegador enviou uma informação guardada por ele em um cookie e o site pôde vincular essa informação ao usuário.

Dessa forma, ao roubar esses cookies, os criadores do CookieMiner podem conseguir acesso aos sites visitados pelo internauta sem que seja preciso roubar as senhas de acesso.

Além dos cookies, também são extraídas as senhas salvas no Chrome, bem como informações de preenchimento automático relativa a cartões de crédito.

O roubo das mensagens SMS, de acordo com a Palo Alto Networks, deve estar relacionado ao uso da autenticação em duas etapas, na qual o usuário recebe uma mensagem SMS com um código para ser usado no login.

Combinando essas informações, os criminosos parecem ter o objetivo de derrotar a segurança da autenticação em duas etapas.

Porém, se nada disso der certo, o vírus ainda instala um programa que dá o controle total da máquina contaminada aos invasores e tentar roubar diretamente as carteiras digitais associadas a criptomoedas.

Com essas carteiras, os criminosos podem transferir as moedas da vítima. Devido à natureza das criptomoedas, essas transferências são irreversíveis e o dinheiro não poderá ser recuperado.

O CookieMiner ainda inclui um componente de mineração de criptomoeda para minerar a Koto, uma criptomoeda baseada em Zcash.

A Palo Alto não informou como esse vírus está sendo distribuído para chegar às vítimas.

Roubo de criptomoeda rende bilhões, diz empresa

O roubo de carteiras de criptomoeda foi uma atividade bilionária em 2018, de acordo com a CipherTrace. Em um relatório publicado esta semana, a empresa calcula que criminosos obtiveram 1,7 bilhão de dólares (cerca de R$ 6,3 bilhões) ao longo de 2018.

O arsenal dos hackers para esses roubos não depende apenas de programas maliciosos como o CookieMiner. Eles também têm criado uma série de sites falsos, alguns deles em endereços muito semelhantes aos verdadeiros.

Esses endereços são divulgados em anúncios pagos em sites de busca, incluindo o Google, e capturam o usuário e a senha das vítimas. A campanha de ataque Coinhoarder, detalhada pela Cisco, teria roubado pelo menos R$ 160 milhões com essa técnica.

Criminosos também recorrem a fraudes de falsidade ideológica para obter o número de celular de vítimas e burlar a autenticação de dois fatores, o que dispensa o uso de programas espiões para a intercepção de torpedos SMS.

Porém, mais da metade do total roubado (US$ 950 milhões) foi obtido com ataques diretos aos serviços de compra e venda de criptomoedas (exchanges). Esse valor supera em mais de três vezes o total registrado em 2017 em ataques contra exchanges (US$ 266 milhões).

Como muitos usuários de criptomoeda deixam suas moedas em exchanges, esses roubos acabam impactando também os usuários e não apenas as empresas envolvidas, que nem sempre têm condições de ressarcir as vítimas.