Uma nova campanha de malware está direcionando profissionais de criptomoedas e Web3 por meio de entrevistas de emprego falsas. A operação entrega o GolangGhost, um trojano de acesso remoto que pode roubar credenciais do navegador, coletar dados de carteiras e dar aos atacantes controle de sistemas macOS infectados.
Vetor de Ataque e Infeção
Os atacantes se passam por recrutadores, oferecem papéis atraentes e direcionam os alvos para avaliações de habilidade online falsas. Na etapa final de gravação de vídeo, o site exibe um erro de câmera falso e persuade as vítimas a copiar e colar um suposto correção em seu Terminal do Mac. O SOCRadar disse em um relatório que a campanha está ligada ao grupo Famous Chollima alinhado à Coreia do Norte, também rastreado como Wagemole.
A campanha entrega o PylangGhost para usuários do Windows e o GolangGhost para usuários do macOS por meio do mesmo processo de recrutamento enganoso. No macOS, o comando copiado inicia um script Bash que cria um diretório de trabalho oculto, baixa um arquivo de driver Intel falso e recupera o compilador Go necessário para executar o GolangGhost.
Capacidades do Malware
O GolangGhost pode usar a utilidade de linha de comando do macOS Keychain para recuperar a senha mestra armazenada do Chrome. Em seguida, aplica esse segredo para decifrar o banco de dados local do Chrome, expondo credenciais de navegador salvas e cookies que podem conceder acesso a serviços online. O malware também procura dados de extensão do navegador associados a carteiras de criptomoedas e gerenciadores de senhas.
Seus alvos incluem o MetaMask e várias outras extensões de carteira, permitindo que os atacantes coletem configurações de extensão e dados relacionados dos perfis do Chrome. Mais preocupante, o GolangGhost pode alterar o arquivo de Preferências Seguras do Chrome após forçar o fechamento do navegador. O malware injeta permissões amplas, incluindo acesso a abas ativas, gravação de área de transferência, solicitações web e armazenamento expandido, e as atribui à extensão do MetaMask.
Indicadores de Comprometimento (IoCs)
Os atacantes apresentam uma instrução realista de solução de problemas de câmera ou microfone na etapa final. A página substitui o comando inofensivo copiado pela vítima por um malicioso, enquanto exibe o texto esperado no Terminal para reduzir a suspeita. A campanha também lança um aplicativo macOS falso que solicita credenciais de administrador sob o pretexto de uma atualização.
Organizações devem treinar funcionários, especialmente não técnicos, para tratar solicitações de entrevista não solicitadas e etapas de solução de problemas de copiar e colar como sinais de alerta. Equipes de segurança devem impedir a busca de emprego pessoal em dispositivos corporativos, revisar Launch Agents inesperados e alterações de preferência do navegador, e usar detecções que inspecionam módulos compilados suspeitos e bibliotecas dinâmicas.
Recomendações de Mitigação
A ameaça reforça por que as equipes devem evitar pacotes de software de recrutamento não confiáveis durante conversas de contratação. As equipes devem monitorar atividades de reconhecimento anormais e implementar controles de acesso rigorosos para evitar que ferramentas de IA sejam usadas para fins maliciosos dentro da organização. A campanha também lança um aplicativo macOS falso que solicita credenciais de administrador sob o pretexto de uma atualização.