Usuários de sistemas operacionais macOS estão sendo alvo de uma campanha sofisticada de engenharia social que distribui 14 instaladores de aplicativos falsos. Esses arquivos, apresentados como software legítimo, contêm um trojano de acesso remoto (RAT) projetado para roubar credenciais e monitorar atividades do usuário. A atividade está vinculada à campanha de longo prazo conhecida como Contagious Interview, na qual atacantes se passam por recrutadores e enviam testes de codificação ou pacotes para candidatos a empregos.
Descoberta e escopo da campanha
A Jamf Threat Labs identificou o cluster de instaladores e vinculou sua infraestrutura de staging a ataques anteriores de hooks de Git e arquivos de tarefa do Visual Studio Code. Os 14 samples se passam por aplicativos populares, incluindo The Unarchiver, Presentify, PDFify, Magic Disk Cleaner, Sketch, SiteSucker Pro, RAR Extractor Max, Mp3tag, Mole, HextEdit, Folder Preview Pro, Disk Doctor Pro, ServerCat e Bartender. Pesquisadores encontraram versões tanto de DMG quanto de PKG, todas sem assinatura válida e sem notarização.
No caso da imagem de disco, os atacantes alteraram a configuração do aplicativo para que um executável oculto chamado .macos seja executado quando o usuário clica duas vezes no pacote. Isso remove o atributo de quarentena do aplicativo real, abre o aplicativo como isca e, em seguida, entra em contato com um servidor de staging. Essa tática ecoa ataques maliciosos de hooks de Git que usavam trabalho de codificação relacionado ao emprego para acionar malware.
Vetor e exploração técnica
A rota do pacote usa um wrapper diferente, mas atinge o mesmo destino. O instalador sem assinatura coloca um script preinstall sob o Application Support, enquanto um script postinstall o lança. Esse script busca a próxima etapa e tenta limpar a flag de proteção do aplicativo instalado. O executável oculto é construído para processadores Intel, então Macs com Apple Silicon precisam do Rosetta 2 antes de poderem ser lançados.
O script inicial baixado cria uma pasta oculta ~/.task e recupera tokenlinux.sh. O próximo script baixa o Node.js, um arquivo parser.js malicioso e componentes de suporte, executa um comando de instalação e lança o programa final. As solicitações de recuperação posteriores carregam tokens assinados de curta duração que parecem ser projetados para rastrear a sessão e controlar o acesso a cada etapa.
O payload final é o OtterCookie, um trojano de acesso remoto que pode roubar credenciais de navegador e carteiras de criptomoedas, procurar arquivos sensíveis e monitorar a área de transferência. Seu uso é consistente com o OtterCookie oculto em SVGs, outra campanha que visou desenvolvedores através de um projeto aparentemente legítimo.
Impacto e alcance
O risco não se limita a um único download falso. Uma vítima que ignora os avisos do macOS pode lançar acidentalmente um aplicativo isca enquanto o programa oculto recupera etapas posteriores em segundo plano. A Jamf disse em um relatório que isso dá aos operadores um caminho para dados de conta valiosos e um canal para comandos no Mac afetado. Os samples podem refletir testes ativos ou desenvolvimento inicial, pois não são executados por padrão, mas a combinação de engenharia social e entrega em etapas mostra por que um aviso de segurança não deve ser tratado como um obstáculo rotineiro.
Medidas de mitigação recomendadas
As equipes de segurança devem tratar relatórios de software de entrevista não solicitado como possíveis incidentes de segurança, especialmente quando os candidatos são solicitados a desativar salvaguardas, executar comandos no terminal ou instalar um pacote fora dos canais de distribuição normais. Os usuários devem obter software Mac apenas de fontes confiáveis, verificar uma assinatura de desenvolvedor sempre que possível e evitar remover o atributo de quarentena apenas para fazer um aplicativo desconhecido funcionar.
As organizações devem manter a prevenção de ameaças, detecção avançada e controles web habilitados para bloquear e relatar atividades semelhantes, especialmente para funcionários que lidam com atribuições de entrevista ou código externo. A campanha também reforça a necessidade de revisar repositórios, scripts de pacote e instaladores inesperados antes da execução.
Perguntas frequentes
- Como identificar os arquivos maliciosos? Verifique se os arquivos DMG ou PKG possuem assinatura de desenvolvedor válida e notarização da Apple. Arquivos sem assinatura são um sinal de alerta imediato.
- O que fazer se o malware for executado? Desconecte o dispositivo da rede imediatamente, isole o sistema e notifique a equipe de segurança. Não tente remover o malware manualmente sem ferramentas adequadas.
- Quais são os indicadores de comprometimento (IoCs)? Incluem IPs como 162.0.239[.]85, domínios como w3pi[.]social e hashes SHA-256 específicos listados nos relatórios de inteligência de ameaças.