Um ator de ameaça norte-coreano conhecido como Sapphire Sleet lançou uma nova campanha contra usuários de macOS, usando uma atualização falsa do SDK do Zoom para enganar vítimas na execução de arquivos maliciosos que roubam senhas, ativos de criptomoedas e dados pessoais. Ao contrário de ataques que exploram falhas de software, esta campanha depende inteiramente de engenharia social, manipulando pessoas em vez de contornar defesas técnicas.
Descoberta e escopo
O ataque começa com uma história convincente. O Sapphire Sleet se passa por um recrutador de emprego em plataformas de networking profissional, constrói confiança através de conversas de carreira e agenda uma entrevista técnica falsa. Em um ponto crítico, a vítima é direcionada a baixar um arquivo chamado "Zoom SDK Update.scpt", um AppleScript compilado que abre no aplicativo macOS Script Editor.
Como o Script Editor é um aplicativo confiável, construído pela Apple, o macOS não levanta bandeiras, e o usuário vê instruções de atualização de rotina enquanto milhares de linhas em branco abaixo escondem código malicioso pronto para execução. Analistas de inteligência de ameaças da Microsoft identificaram esta campanha e notaram que a combinação específica de padrões de execução, incluindo o uso de AppleScript como um componente dedicado de coleta de credenciais, não havia sido anteriormente observada do Sapphire Sleet.
Detalhes da cadeia de infecção
Uma vez que a vítima abre o arquivo de isca, o ataque se move através de uma cadeia rápida de comandos. O script invoca o binário legítimo do macOS "softwareupdate" com um parâmetro inválido para imitar um processo real do sistema, depois usa "curl" para buscar um payload de AppleScript remoto e passá-lo diretamente para o interpretador "osascript". Esse padrão se repete em cinco estágios, cada um rastreado por strings de user-agent mac-cur1 a mac-cur5, permitindo que o Sapphire Sleet gerencie a entrega do payload e monitore o progresso da campanha.
O estágio mac-cur1 atua como o orquestrador, coletando detalhes do sistema, registrando a máquina infectada nos servidores de comando e controle do Sapphire Sleet e implantando um binário de monitoramento de host chamado "com.apple.cli". Um backdoor chamado "services" simultaneamente instala um launch daemon chamado "com.google.webkit.service.plist", nomeado para imitar de perto serviços legítimos da Apple e Google para persistir através de reinicializações sem chamar atenção.
O estágio mac-cur2 entrega o coletor de credenciais, "systemupdate.app", que exibe um diálogo de senha nativo idêntico a um prompt de sistema real. Quando o usuário insere sua senha, o malware a valida contra o banco de dados de autenticação local e a envia imediatamente para o Sapphire Sleet via Telegram Bot API. Um segundo aplicativo falso chamado "softwareupdate.app" então exibe uma mensagem de "atualização do sistema concluída" para que a vítima não tenha motivo para ficar suspeita.
Medidas de mitigação recomendadas
Usuários e organizações devem tratar qualquer solicitação não solicitada para executar comandos de terminal durante uma entrevista online como um sinal de alerta claro. Bloquear arquivos AppleScript compilados (.scpt), auditar arquivos plist de LaunchDaemon para entradas inesperadas e monitorar o banco de dados TCC para alterações não autorizadas são todas etapas defensivas eficazes. Manter o macOS atualizado garante que as últimas assinaturas XProtect da Apple e as proteções de navegação segura do Safari permaneçam ativas para bloquear componentes conhecidos desta campanha.