O gerenciador de senhas LastPass emitiu um alerta crítico sobre uma elaborada campanha de phishing que está mirando especificamente nos usuários do macOS. Os cibercriminosos estão criando versões falsas do aplicativo que, quando instaladas, instalam malware capaz de roubar senhas e dados sensíveis armazenados nos computadores das vítimas.
De acordo com a investigação do LastPass, os atacantes estão utilizando anúncios patrocinados em buscadores como Google e Bing para promover seus aplicativos maliciosos. Quando um usuário pesquisa por termos relacionados ao LastPass, esses resultados fraudulentos aparecem no topo, levando a páginas que imitam o site oficial do gerenciador de senhas.
O método de ataque principal identificado é o ClickFix, uma técnica cada vez mais comum em que os usuários são enganados para copiar e colar comandos no Terminal do macOS. Ao executar esses comandos, as vítimas inadvertidamente instalam backdoors que garantem acesso persistente aos criminosos.
“Quando o usuário clica para baixar a suposta versão para macOS, ele é redirecionado para um site externo que instrui a vítima a copiar uma linha de código para o Terminal”, explica o LastPass em seu comunicado. Este comando malicioso faz uma solicitação curl para uma URL codificada em base64, baixando silenciosamente os arquivos do malware para a pasta temporária do sistema.
Mais de 100 aplicativos populares sendo falsificados
A campanha não se limita apenas ao LastPass. Os pesquisadores de segurança identificaram que os mesmos atacantes estão criando versões falsas de pelo menos 100 aplicativos populares, incluindo 1Password, Adobe After Effects, Audacity, Dropbox, Notion, Robinhood e Thunderbird.
O malware distribuído nestas campanhas é classificado como um “malware-as-a-service” conhecido como AMOS, que os criminosos podem alugar por aproximadamente US$ 1.000 mensais (cerca de R$ 5.340). Uma vez instalado, o programa malicioso coleta senhas salvas, informações de navegação e pode dar aos atacantes controle completo sobre o computador infectado.
Apesar dos esforços do LastPass para denunciar os repositórios falsos no GitHub, os atacantes conseguem recriar automaticamente novos repositórios assim que os antigos são removidos, criando um ciclo difícil de quebrar.
Esta não é a primeira vez que ataques do tipo ClickFix são direcionados a usuários de macOS. Campanhas similares já foram detectadas este ano imitando serviços como Booking.com e até mesmo páginas de suporte técnico da própria Apple.
Especialistas em segurança recomendam que os usuários nunca copiem comandos desconhecidos para o Terminal, independentemente de quão legítimo o site pareça. Para baixar aplicativos com segurança, sempre utilize:
- A App Store oficial do macOS
- O site oficial do desenvolvedor do aplicativo
- Lojas de aplicativos confiáveis com verificação de segurança
Se você suspeita que pode ter instalado uma versão falsificada do LastPass ou qualquer outro aplicativo, é recomendado formatar o computador ou buscar ajuda especializada, pois estes malwares são projetados para persistir mesmo após a desinstalação do aplicativo falso.
