Novo malware para Mac sequestra sessões autenticadas do navegador
Um malware recente para macOS, identificado como AmnesiaStealer, combina roubo de informações, mecanismos de persistência e sequestro de sessões ativas para assumir o controle de navegadores já autenticados. A ameaça chama atenção porque pode permitir que criminosos acessem contas mesmo quando a vítima utiliza autenticação multifator.
A campanha começa com uma página fraudulenta que imita a aparência do GitHub. Em vez de explorar diretamente uma falha técnica, o golpe convence o usuário a copiar e colar um comando no Terminal. Essa abordagem é conhecida como ClickFix, uma técnica de engenharia social que transforma a própria vítima em parte do processo de infecção.
Ao executar o comando, o sistema baixa e inicia uma carga maliciosa desenvolvida em Rust. O programa coleta informações do computador e, em seguida, apresenta uma janela falsa de instalação ou atualização. O objetivo é induzir o usuário a informar a senha do macOS.
Com a senha em mãos, o AmnesiaStealer tenta desbloquear o Keychain, mecanismo responsável por armazenar credenciais e outros segredos do sistema. Se obtiver acesso, o malware pode consultar dados protegidos que normalmente não ficam expostos a aplicativos comuns.
Entre os alvos estão senhas salvas, cookies, histórico de navegação, extensões instaladas e documentos armazenados no computador. A ameaça também procura informações presentes no Apple Notes, sessões do Telegram e dados associados a carteiras de criptomoedas.
Sequestro de sessões contorna autenticação multifator
O componente mais preocupante do malware é um módulo especializado em copiar o perfil do navegador da vítima. Depois, ele inicia uma sessão oculta baseada em Chromium e utiliza o Chrome DevTools Protocol para controlá-la remotamente.
Esse protocolo permite manipular abas, abrir páginas, executar ações no navegador e enviar comandos equivalentes a entradas de teclado e mouse. Na prática, o invasor pode operar o ambiente do navegador como se estivesse diante do computador comprometido.
A técnica é especialmente perigosa porque aproveita sessões que já foram autenticadas. Quando um usuário conclui o login com senha e código de autenticação multifator, o navegador armazena tokens e cookies que mantêm a sessão ativa. Se esses elementos forem copiados, o criminoso pode acessar determinados serviços sem repetir todo o processo de autenticação.
Isso não significa que a autenticação multifator tenha deixado de ser útil. Ela continua sendo uma barreira importante contra o roubo convencional de senhas. O problema é que, depois que uma sessão legítima é estabelecida, o roubo dos seus identificadores pode permitir que o invasor se passe pelo usuário autorizado.
Persistência dificulta a remoção
O AmnesiaStealer também tenta permanecer no sistema depois da primeira execução. Para isso, utiliza um LaunchDaemon com aparência disfarçada, recurso que permite iniciar componentes maliciosos automaticamente no macOS.
A persistência aumenta o risco de novos roubos, pois o malware pode continuar ativo mesmo após a vítima fechar o Terminal ou reiniciar o computador. A ameaça ainda procura eliminar arquivos e vestígios relacionados à instalação, dificultando a investigação e a detecção manual.
Outro fator de risco é a aparência legítima das páginas utilizadas no golpe. Como o ataque explora a confiança em plataformas conhecidas e orienta a execução de um comando aparentemente necessário, usuários podem não perceber que estão iniciando um processo perigoso.
Como reduzir o risco de infecção
Usuários de Mac devem evitar copiar comandos para o Terminal quando a instrução surgir em uma página inesperada, especialmente em supostas telas de erro, atualizações ou verificações de segurança. Sites legítimos raramente precisam que o visitante execute comandos desconhecidos para corrigir um problema no navegador.
Também é importante observar o endereço completo da página, desconfiar de domínios semelhantes aos originais e não fornecer a senha do sistema em janelas que apareçam fora do fluxo normal de configuração. Uma solicitação repentina de credenciais, principalmente após a execução de um comando, deve ser tratada como sinal de alerta.
Manter o macOS, navegadores e extensões atualizados reduz a exposição a falhas conhecidas, embora não impeça golpes baseados em engenharia social. O uso de gerenciadores de senhas, chaves de segurança e métodos de autenticação resistentes a phishing pode dificultar o abuso de credenciais.
O que fazer diante de uma suspeita
Se houver indícios de infecção, o computador deve ser desconectado da internet para interromper possíveis comunicações com o servidor do atacante. Em seguida, é recomendável realizar uma análise profissional do sistema, verificar itens de inicialização e remover componentes desconhecidos somente com segurança.
As senhas devem ser alteradas a partir de um dispositivo confiável, começando pelas contas de e-mail, serviços financeiros, plataformas corporativas e gerenciadores de senhas. Também é necessário encerrar todas as sessões ativas e revogar tokens, dispositivos autorizados e chaves de acesso que não sejam reconhecidos.
Empresas podem reduzir o impacto adotando políticas que bloqueiem a execução de scripts não autorizados, monitorando alterações em perfis de navegadores e restringindo o uso do Terminal por usuários que não necessitam desse recurso. A combinação de treinamento, controles técnicos e monitoramento contínuo é essencial para detectar o AmnesiaStealer e ameaças semelhantes antes que o roubo de sessões se transforme em uma invasão mais ampla.