Atores de ameaça com vínculos com a Coreia do Norte foram atribuídos a uma campanha sofisticada de malvertising (publicidade maliciosa) direcionada ao macOS, que envolve redirecionar usuários para páginas web falsas que exibem uma sequência de atualização inexistente em tela cheia, com o objetivo de distribuir malware (software malicioso) como parte de uma nova iteração da longa campanha Contagious Interview (Entrevista Contagiosa).
O aspecto que define o ataque é que a falsa tela de atualização de software do macOS copia silenciosamente um comando malicioso para a área de transferência e, em seguida, induz a vítima a executá-lo por meio do aplicativo Terminal, uma técnica conhecida chamada ClickFix.
"A experiência foi projetada para induzir pânico", afirmou a AllSecure em um relatório compartilhado com o The Hacker News. "O computador parece estar travado ou reiniciando, então um usuário que acredita que o sistema operacional falhou segue instruções que, de outra forma, acharia suspeitas."
A campanha também se destaca pelo uso de uma infraestrutura de comando e controle (C2) hospedada em blockchain, com o malware extraindo o endereço do servidor ativo a partir de um smart contract (contrato inteligente) na rede Ethereum. Essa abordagem resistente a derrubadas, chamada de EtherHiding, já foi utilizada por atores de ameaça norte-coreanos em campanhas anteriores associadas à Contagious Interview (também chamada de UNC5342).
O objetivo final dos ataques é facilitar a execução remota de código, permitindo que o implant (código instalado no sistema da vítima) consulte o servidor C2 e baixe dois payloads (cargas úteis) adicionais: um ladrão de informações capaz de atingir 157 carteiras de criptomoedas e uma extensão maliciosa do navegador Chrome.
A cadeia de ataque difere das campanhas típicas da Contagious Interview porque o ponto de partida envolve clicar em um resultado de busca por uma empresa-alvo não especificada. Assim que o site é aberto, o navegador exibe a mensagem em tela cheia de reinicialização do macOS, dando a impressão de que uma atualização de software estaria em andamento, enquanto prepara discretamente o terreno para a próxima fase da infecção.
Depois que a sequência da falsa atualização é concluída, a página falsa instrui o usuário a abrir o aplicativo Terminal e colar um comando que já foi copiado para a área de transferência do sistema. Curiosamente, qualquer tentativa de reproduzir essa sequência não produz o mesmo resultado, o que indica que a ativação é de uso único.
O interessante aqui é que o chamariz inicial não foi uma oferta de emprego suspeita, uma avaliação em vídeo ou um teste de programação, todos métodos que o grupo Contagious Interview já utilizou no passado. Em vez disso, a ação começa com uma busca web aparentemente inofensiva.
No caso observado pela AllSecure, a vítima supostamente estava pesquisando por máquinas de eletroforese e clicou em um resultado patrocinado de uma empresa que parecia vendê-las. A sequência de infecção começa imediatamente após a página falsa carregar no navegador.
O comando colado no Terminal é um comando curl projetado para buscar o malware da próxima etapa, levando à execução de um backdoor (porta de entrada para acesso remoto) em Node.js que utiliza um LaunchAgent (mecanismo de inicialização automática do macOS) para persistência e aciona um contrato na rede Ethereum para resolver o endereço do servidor C2. O implant é configurado para se comunicar com o servidor a cada cinco minutos e executar qualquer código JavaScript retornado por ele.
O mecanismo EtherHiding serve como conduto para dois payloads:
- Um ladrão de informações que coleta dados de navegadores web (Chrome, Brave, Edge, Firefox, Opera e Vivaldi), de 157 carteiras de criptomoedas, além de chaves SSH (protocolo de acesso remoto seguro), da AWS (Amazon Web Services, serviços de computação em nuvem da Amazon), do Azure (plataforma de nuvem da Microsoft) e do npm (gerenciador de pacotes do Node.js);
- Uma extensão maliciosa chamada "Google Drive Offline", instalada manualmente no navegador por meio da modificação do arquivo Secure Preferences (arquivo de configurações de segurança) do Chrome, usada para esvaziar a carteira da vítima.
Dois endereços Ethereum estão embutidos no malware, ambos atuando como configuração do EtherHiding responsável por buscar os servidores C2 reais: "rg-telemetry[.]sbs/api" e "th-updates[.]sbs/analytics".
"Cada contrato foi criado por uma carteira descartável executando um script idêntico de quatro etapas: foi financiado com cerca de 0,0126 ETH (Ether, a moeda da rede Ethereum), implantou o contrato, gravou a configuração, encaminhou o ETH restante (aproximadamente 0,006) e abandonou a carteira", disse a AllSecure. "O padrão sugere um operador que industrializou a implantação: financiar, implantar, configurar, drenar sobras, abandonar e repetir."
Análises adicionais determinaram que tanto o backdoor quanto o drainer (programa de esvaziamento) instalado como extensão de navegador são financiados a partir do mesmo grupo de carteiras, indicando que a atividade é obra de um único ator.
"O
