Uma nova campanha do malware infostealer AMOS está explorando anúncios no Google Search para atrair usuários a interagir com Grok e ChatGPT.
Nessas interações, o bot oferece supostas instruções “úteis” que, na verdade, levam à instalação do malware AMOS em sistemas macOS.
A campanha foi identificada inicialmente por pesquisadores da Kaspersky ontem.
Hoje, a plataforma de segurança gerenciada Huntress publicou um relatório mais detalhado.
O ataque, batizado de ClickFix, começa quando as vítimas buscam termos relacionados ao macOS, como dúvidas sobre manutenção, resolução de problemas ou informações sobre o Atlas — navegador web para macOS alimentado por inteligência artificial da OpenAI.
Os anúncios do Google direcionam diretamente para conversas no ChatGPT e Grok, que foram compartilhadas publicamente com o objetivo de preparar o ataque.
Essas conversas maliciosas, hospedadas em plataformas legítimas de Language Learning Models (LLMs), contêm comandos fraudulentos usados para instalar o malware.
“O time da Huntress reproduziu esses resultados manipulados em diversas variações da mesma pergunta, como ‘como limpar dados no iMac’, ‘limpar dados do sistema no iMac’ e ‘liberar espaço no Mac’, confirmando que não se trata de um caso isolado, mas de uma campanha deliberada e ampla, focada em dúvidas comuns de troubleshooting”, explicam os pesquisadores.
Se os usuários seguirem as instruções e executarem os comandos no Terminal do macOS, um URL codificado em base64 será decodificado em um script bash (update), que abrirá uma janela falsa solicitando a senha do sistema.
Ao informar a senha, o script a valida, armazena e a utiliza para executar comandos com privilégios elevados, como baixar o infostealer AMOS e executá-lo com acesso root.
O AMOS foi identificado pela primeira vez em abril de 2023 como um malware-as-a-service (MaaS) direcionado exclusivamente a sistemas macOS, disponível para aluguel mensal por US$ 1.000 a criminosos.
Neste ano, o AMOS ganhou um módulo backdoor que permite aos operadores executar comandos remotos na máquina infectada, registrar teclas digitadas e instalar payloads adicionais.
No sistema, o AMOS é instalado na pasta /Users/$USER/ como um arquivo oculto (.helper).
Ao ser executado, ele busca na pasta de aplicativos wallets Ledger e Trezor Suite.
Caso os encontre, substitui-os por versões trojanizadas que solicitam ao usuário a seed phrase “por questões de segurança”.
Além disso, o malware ataca wallets de criptomoedas como Electrum, Exodus, MetaMask, Ledger Live e Coinbase Wallet.
Também rouba dados do navegador, incluindo cookies, senhas salvas, dados de preenchimento automático e tokens de sessão.
Ainda captura informações do macOS Keychain, como senhas de apps e credenciais Wi-Fi, além de arquivos do sistema.
A persistência é garantida por um LaunchDaemon (com.finder.helper.plist) que executa um AppleScript oculto em um loop de vigilância, reiniciando o malware em até um segundo caso ele seja encerrado.
Esses recentes ataques ClickFix ilustram como agentes de ameaça continuam a explorar plataformas legítimas e populares, como OpenAI e X, para aplicar novos métodos de ataque.
Especialistas recomendam cuidado redobrado e que usuários evitem executar comandos encontrados na internet sem total compreensão do que eles fazem.
A Kaspersky alerta ainda que, mesmo após acessar essas conversas manipuladas com LLMs, uma simples pergunta de verificação ao ChatGPT sobre a segurança das instruções é suficiente para indicar que elas não devem ser seguidas.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...