O malware Odyssey Stealer voltou a visar usuários de sistemas operacionais macOS, com um aumento recente de atividade afetando vítimas em mais de 100 países. A ameaça é um software de roubo de informações projetado para coletar credenciais, dados de navegação, ativos de criptomoedas e outros arquivos sensíveis que podem expor rapidamente contas pessoais e corporativas.
Descoberta e escopo global
A campanha foi identificada pela Moonlock Lab, que compartilhou um relatório com a Cyber Security News (CSN). Os analistas notaram que a pegada do malware é ampla, afetando indivíduos, investidores e usuários corporativos de Mac. A atividade não depende de uma falha recém-descoberta no macOS, mas sim de engenharia social que explora comportamentos rotineiros.
Uma das características mais preocupantes é o alcance das carteiras de criptomoedas. A Moonlock Lab relatou que o malware visa aproximadamente 300 IDs de extensões de carteiras de criptomoedas. Essa abordagem permite que os atacantes procurem uma ampla gama de carteiras baseadas em navegador em vez de depender de um único serviço popular.
Além das extensões, o malware busca arquivos de carteira associados a 16 aplicativos de criptomoeda para desktop. As aplicações visadas incluem Electrum, Exodus, Ledger Live, Trezor Suite, Bitcoin Core, Litecoin Core, Dash Core e Monero. Isso coloca em risco tanto usuários de carteiras de software quanto pessoas que gerenciam carteiras de hardware por meio de aplicativos companheiros.
Vetor de infecção e engenharia social
A campanha atinge as vítimas por meio de software enganoso e prompts de atualização, incluindo iscas de engenharia social do estilo ClickFix. Essas iscas persuadem os usuários a executar comandos maliciosos, transformando um download normal ou etapa de solução de problemas em uma infecção.
Uma vez iniciado, o malware procura silenciosamente o dispositivo por informações valiosas e as envia para infraestrutura controlada pelos atacantes. A persuasão explora a confiança do usuário em prompts de atualização ou software legítimo, tornando as verificações de fonte cuidadosas essenciais mesmo para usuários que mantêm o sistema operacional atualizado.
Impacto em carteiras e credenciais de nuvem
O impacto vai além dos logins de navegador. O Odyssey pode coletar senhas, cookies e dados de preenchimento automático de navegadores amplamente utilizados, incluindo Chrome, Brave, Edge, Vivaldi, Opera, Arc, Firefox e Waterfox. Isso permite que um atacante acesse uma conta sem necessariamente saber a senha imediatamente.
Para desenvolvedores, administradores e trabalhadores remotos, a coleta de chaves SSH e dados de configuração para AWS, Google Cloud, Azure e Docker é especialmente preocupante. Credenciais roubadas do FileZilla, dados do banco de dados Keychain, informações do Telegram e Discord, histórico de shell e senhas recuperáveis localmente podem ampliar o dano após um comprometimento inicial.
A roubo de dados de carteiras e credenciais de nuvem pode dar aos criminosos vários caminhos para roubar fundos, assumir contas ou se mover mais profundamente em um ambiente afetado.
Persistência e mecanismos de evasão
O malware tenta permanecer em um Mac instalando um LaunchDaemon persistente, um componente do sistema que pode iniciar programas automaticamente. Isso dá ao Odyssey uma melhor chance de retornar após uma reinicialização e continuar sua atividade de coleta sem exigir que a vítima reabra a isca original.
A Moonlock Lab também observou a operação substituindo aplicativos Ledger, Trezor e Exodus por versões trojanizadas projetadas para drenar carteiras. Em termos práticos, uma vítima pode acreditar que está usando um programa de carteira confiável, enquanto o aplicativo substituído é construído para redirecionar ou roubar transações de criptomoedas.
Os atacantes usam um servidor principal de comando e controle e domínios de fallback, permitindo que o malware receba instruções e entregue informações roubadas mesmo se um caminho de conexão for interrompido. A campanha também usa payloads de carteira trojan de segunda etapa, sugerindo que uma infecção pode se desenvolver além da primeira fase de roubo de dados.
Recomendações de mitigação para CISOs
Organizações devem monitorar LaunchDaemons não familiares, conexões de saída incomuns e alterações inesperadas em aplicativos de carteira. A verificação de fontes de aplicativos antes da instalação é crucial.
Recomenda-se baixar software apenas de um site oficial do fornecedor ou da Mac App Store, tratar instruções de atualização inesperadas com suspeita e verificar um aplicativo de carteira antes de inserir informações de recuperação. Isso pode reduzir a exposição.
Qualquer pessoa que suspeite de uma infecção deve desconectar o Mac das redes, alterar credenciais de um dispositivo confiável separado, revisar contas de criptomoeda e buscar suporte de resposta a incidentes antes de restaurar o acesso normal.
Indicadores de comprometimento (IoCs)
Os seguintes indicadores foram identificados pela pesquisa e devem ser monitorados em plataformas de inteligência de ameaças como MISP, VirusTotal ou SIEM:
- Endereço IP: 165.245.215.18 (Servidor principal de comando e controle)
- Domínio: rahtam.com (Domínio de fallback de comando e controle)
- Domínio: scubin.com (Segundo domínio de fallback de comando e controle)
Nota: Endereços IP e domínios são intencionalmente defanged (por exemplo, [.]) para evitar resolução acidental ou hiperlinking. Re-fang apenas dentro de plataformas controladas de inteligência de ameaças.
Conclusão
A campanha Odyssey Stealer representa uma ameaça significativa para usuários de macOS, especialmente aqueles envolvidos com criptomoedas e desenvolvimento de software. A combinação de engenharia social sofisticada, persistência robusta e foco em ativos financeiros digitais exige uma postura defensiva proativa. A conscientização do usuário e a verificação rigorosa de fontes de software são as primeiras linhas de defesa contra essa ameaça.