Um novo implante para macOS, rastreado como GhostProfile, clona perfis de navegador e opera remotamente cópias ocultas do Chrome ou do Firefox, permitindo que invasores naveguem com as sessões autenticadas das vítimas.
Os pesquisadores descreveram o implante como um VNC oculto (sistema de compartilhamento remoto de tela) que não espelha a tela da vítima.
Em vez de expor a área de trabalho, o GhostProfile supostamente cria um clone descartável do perfil do navegador e controla o navegador resultante por meio do Chrome DevTools Protocol (CDP, protocolo de depuração do Chrome) e do WebDriver BiDi.
Segundo a divulgação fornecida pela Moonlock, esse navegador “fantasma” carrega os cookies da vítima, permitindo que um operador interaja com serviços nos quais a vítima já está conectada, sem que a atividade apareça na janela normal do navegador dela.
A distinção importa: o GhostProfile é descrito como um implante interativo de controle do navegador, e não apenas uma ferramenta que coleta credenciais para uso posterior.
O design relatado oferece aos atacantes um ambiente no qual podem navegar em sites mantendo o estado de autenticação copiado do navegador da vítima. A descrição inicial da Moonlock destaca especificamente os logins ativos e a clonagem de perfis.
Isso pode expor contas cujas sessões existentes continuam válidas, sem necessidade de nova solicitação de senha.
No entanto, a divulgação não comprova que todos os sites aceitem a sessão clonada, que proteções vinculadas ao dispositivo sejam contornadas ou que desafios adicionais de autenticação deixem de existir. Esses resultados dependem do navegador, da implementação da sessão e dos controles do lado do serviço.
Os protocolos subjacentes são interfaces legítimas de automação. A documentação do WebDriver BiDi da Mozilla descreve recursos para controlar contextos de navegação, executar scripts, interagir com elementos da página e monitorar atividade de rede.
Sua comunicação bidirecional, baseada em WebSocket, permite que um cliente de automação receba eventos do navegador enquanto envia comandos. Segundo os relatos, o GhostProfile reaproveita esse modelo de controle para acesso encoberto.
A Moonlock Lab divulgou o malware em 12 de outubro, após receber uma amostra compartilhada pelo pesquisador de malware @malwrhunterteam.
O Google já havia documentado invasores abusando da depuração remota para extrair cookies.
Malware para macOS assume o controle do Chrome
A partir do Chrome 136, o navegador deixou de respeitar --remote-debugging-port e --remote-debugging-pipe no diretório de dados padrão, a menos que um --user-data-dir não padrão seja fornecido.
O Google afirma que esse diretório separado usa uma chave de criptografia diferente, o que protege os dados existentes do Chrome contra essa via de ataque.
Essa mudança torna a alegação de clonagem de perfil do GhostProfile tecnicamente significativa, mas não autoexplicativa.
A divulgação disponível não mostra como o implante preserva material de autenticação utilizável entre versões do navegador nem como interage com os mecanismos de criptografia.
Clonar um diretório, por si só, não deve ser apresentado como prova de que as proteções do Chrome foram derrubadas.
Esse trabalho ilustra o perigo mais amplo das interfaces de controle de navegador após o comprometimento do endpoint, mas não estabelece a implementação do GhostProfile nem conecta as duas operações.
A Moonlock afirmou que a amostra “parece FUD por enquanto” (sigla de fully undetectable, ou totalmente indetectável). Trata-se de uma observação preliminar, não de evidência de evasão universal de antivírus nem de uma capacidade duradoura de contornar defesas de endpoint.
O relatório inicial acessível não apresenta um denominador de detecção, metodologia de testes nem evidências que sustentem afirmações mais amplas.
A divulgação fornecida também deixa em aberto o mecanismo de entrega, a persistência, a infraestrutura de comando e controle, o alcance das vítimas e a atribuição. Nenhum hash ou indicador de rede aparece nos trechos disponíveis.
A inovação relatada do GhostProfile é, portanto, específica: operar de forma encoberta um navegador clonado e autenticado, em vez de espelhar uma área de trabalho comum.
São necessárias mais análises da amostra para estabelecer sua implementação, confiabilidade e alcance operacional além dessa descrição inicial do novo implante para macOS.
Interrompa ameaças cibernéticas antes do impacto, com tempo médio de resposta (MTTR) 21 minutos mais rápido. Integre o Sandbox da ANY.RUN ao seu Centro de Operações de Segurança (SOC).
