“ModStealer” Malware Mira Carteiras de Criptomoedas, Escapa da Detecção Antivírus

ModStealer é um novo malware multiplataforma que evita ferramentas antivírus, se espalha através de falsos anúncios de emprego e rouba as credenciais de carteiras cripto.

A empresa de cibersegurança Mosyle detectou um perigoso novo malware que rouba informações sensíveis enquanto evita a detecção de sistemas antivírus padrão. A comunidade de segurança descobriu o malware ModStealer no VirusTotal quase um mês atrás, mas passou despercebido pelas principais engines de segurança.

As descobertas, primeiramente detalhadas por 9to5Mac, mostram como o ModStealer opera em vários sistemas operacionais. O malware existe como uma ferramenta multiplataforma que funciona especificamente para roubar dados dos usuários. A distribuição do malware ocorre por meio de anúncios falsos de recrutamento de emprego direcionados a desenvolvedores.

O arquivo JavaScript do NodeJS disfarçado executa em computadores das vítimas sem acionar nenhum alerta de softwares antivírus típicos.

O alvo principal do malware são os dados pessoais. Os pesquisadores encontraram um código de programação que visa carteiras de criptomoedas, credenciais de login, detalhes de configuração e certificados.

O malware contém ataques pré-programados contra 56 extensões de carteira de navegador, incluindo o Safari, que permite aos hackers roubar chaves privadas e detalhes de conta.

O ModStealer também é capaz de capturar a área de transferência, capturar a tela e até mesmo executar código remotamente. “Os dois primeiros são ruins, mas o último pode dar aos atacantes quase total controle sobre os dispositivos infectados”, explicou a Mosyle, conforme relatado pela 9to5Mac.

No macOS, o malware usa a própria ferramenta launchctl da Apple para se incorporar como um LaunchAgent, garantindo sua persistência em máquinas infectadas. O malware funciona em modo furtivo, coletando dados do sistema que, em seguida, transfere para um servidor finlandês conectado a uma infraestrutura baseada na Alemanha. Desta forma, ele esconde a localização real dos atacantes.

O 9to5Mac relata que a Mosyle acredita que o ModStealer faz parte de um crescente mercado de Malware-as-a-Service, onde hackers profissionais vendem malwares prontos para criminosos menos habilidosos.

“Para profissionais de segurança, desenvolvedores e usuários finais, isso serve como um lembrete severo de que proteções baseadas apenas em assinaturas não são suficientes”, adverte a Mosyle, conforme relatado pelo 9to5Mac.