📰 Informação fresquinha chegando para você!
Confira agora e compartilhe com seus amigos!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Um novo malware de roubo de informações chamado AmnesiaStealer, que tem como alvo usuários do macOS por meio de ataques ClickFix, inclui um módulo de streaming que permite ao invasor controlar interativamente o navegador da vítima.
Uma capacidade notável é copiar o perfil Chromium da vítima, incluindo seu estado de autenticação, e carregá-lo em um navegador oculto e sem cabeça no sistema infectado.
Isso permite que o hacker acesse as sessões autenticadas das vítimas, preservando os identificadores associados ao navegador, ao host e à rede.
AmnesiaStealer pode coletar dados em 16 navegadores baseados em Chromium, bem como outras informações confidenciais, como senhas, carteiras de criptomoedas, Apple Notes e documentos e dados de chaves.
O malware é atualmente distribuído por meio de campanhas ClickFix que usam uma página falsa de download do GitHub para descartar um arquivo ZIP protegido por senha.
Página falsa do GitHub empurrando uma isca ClickFixFonte: Jamf
Pesquisadores da Jamf, uma empresa de gerenciamento e segurança de dispositivos da Apple, analisaram a distribuição do AmnesiaStealer e descobriram que ele usava o mesmo modelo usado anteriormente para espalhar os infostealers Atomic e MacSync.
O comando ClickFix executa um carregador de script de shell que baixa e inicia o arquivo protegido por senha contendo a carga útil do AmnesiaStealer Mach-O.
O malware captura a senha do macOS da vítima e a usa para coletar dados de chaves, bem como perfis de navegador, Apple Notes, sessões de Telegram, documentos, informações do sistema e dados de carteira de criptomoedas.
Roubando a senha do administradorFonte: Jamf
Os pesquisadores destacam que o malware apresenta um componente chamado stream_module, recuperado usando o comando remote_stream, que dá ao operador mal-intencionado controle remoto sobre sessões autenticadas implantadas a partir de uma instância de navegador headless.
De acordo com Jamf, o stream_module do AmnesiaStealer pode duplicar perfis de usuário em sete navegadores baseados em Chromium, incluindo Google Chrome, Microsoft Edge, Vivaldi, Arc, Opera, Brave e Chromium, porque eles compartilham o mesmo protocolo DevTools, sinalizadores de inicialização e criptografia de cookies.
O módulo inicia o executável do navegador legítimo no modo headless com opções de linha de comando que enfraquecem as defesas do navegador, duplica o perfil da vítima e especifica sua localização para armazenar os dados do perfil.
O malware então estabelece um canal WebSocket que se conecta à retransmissão do operador e envia uma mensagem de registro JSON contendo o nome e a construção do navegador.
O operador pode então enviar comandos por esse canal, como navegação e cliques do mouse, enquanto o malware retorna informações de status e guias como JSON e transmite quadros de screencast como mensagens binárias WebSocket.
Um segundo canal WebSocket se conecta à instância local headless do Chromium por meio do webSocketDebuggerUrl do navegador, fornecendo acesso ao Chrome DevTools Protocol (CDP).
Isso permite que o hacker navegue em sites com controle de mouse e teclado, exporte ou importe cookies e opere portais online usando as sessões autenticadas existentes da vítima.
“O operador recebe um screencast ao vivo da sessão em torno de 3fps e pode conduzi-lo com um conjunto completo de entradas: teclado, mouse, rolagem, navegação e gerenciamento de guias”, explica Jamf.
"Na verdade, o comando remote_stream transforma um host infectado em um navegador ativo, controlado pelo operador, executando as sessões autenticadas da vítima, que é um nível de acesso materialmente diferente da coleta de arquivos."
Do screencast ao vivoFonte: Jamf
De acordo com os pesquisadores, o AmnesiaStealer pode exfiltrar cookies, logins salvos, histórico de navegação, favoritos, extensões, estado local e outros dados de perfil dos 16 navegadores baseados em Chromium que visa.
Ele também rouba detalhes da carteira de criptomoedas e os identifica enumerando extensões e dados do IndexedDB.
Jamf observa que o malware contém um mecanismo de fallback quando é executado no macOS 26 e não pode recuperar a chave existente do Chrome Safe Storage, que a substituiu por um valor fornecido pelo invasor.
Isso torna os cookies e senhas armazenados anteriormente permanentemente ilegíveis, ao mesmo tempo que permite que o invasor descriptografe os dados posteriormente.
O protocolo Chrome DevTools (CDP) foi abusado por malware no passado, inclusive pelo ransomware Chaos para ocultar comunicações de comando e controle e pelo malware Chaes para expor funções do navegador que poderiam permitir o roubo de dados.
No entanto, AmnesiaStealer parece ser o primeiro malware documentado para macOS a combinar um perfil clonado do Chromium com controle remoto ao vivo baseado em CDP, permitindo que invasores interajam com sessões autenticadas por meio de um navegador oculto em execução no computador infectado.
Os usuários são aconselhados a nunca executar comandos no terminal que encontraram online e não entendem totalmente.
Depois que os invasores tiverem credenciais válidas, apenas 37% de suas ações serão bloqueadas
Geral p
Uma capacidade notável é copiar o perfil Chromium da vítima, incluindo seu estado de autenticação, e carregá-lo em um navegador oculto e sem cabeça no sistema infectado.
Isso permite que o hacker acesse as sessões autenticadas das vítimas, preservando os identificadores associados ao navegador, ao host e à rede.
AmnesiaStealer pode coletar dados em 16 navegadores baseados em Chromium, bem como outras informações confidenciais, como senhas, carteiras de criptomoedas, Apple Notes e documentos e dados de chaves.
O malware é atualmente distribuído por meio de campanhas ClickFix que usam uma página falsa de download do GitHub para descartar um arquivo ZIP protegido por senha.
Página falsa do GitHub empurrando uma isca ClickFixFonte: Jamf
Pesquisadores da Jamf, uma empresa de gerenciamento e segurança de dispositivos da Apple, analisaram a distribuição do AmnesiaStealer e descobriram que ele usava o mesmo modelo usado anteriormente para espalhar os infostealers Atomic e MacSync.
O comando ClickFix executa um carregador de script de shell que baixa e inicia o arquivo protegido por senha contendo a carga útil do AmnesiaStealer Mach-O.
O malware captura a senha do macOS da vítima e a usa para coletar dados de chaves, bem como perfis de navegador, Apple Notes, sessões de Telegram, documentos, informações do sistema e dados de carteira de criptomoedas.
Roubando a senha do administradorFonte: Jamf
Os pesquisadores destacam que o malware apresenta um componente chamado stream_module, recuperado usando o comando remote_stream, que dá ao operador mal-intencionado controle remoto sobre sessões autenticadas implantadas a partir de uma instância de navegador headless.
De acordo com Jamf, o stream_module do AmnesiaStealer pode duplicar perfis de usuário em sete navegadores baseados em Chromium, incluindo Google Chrome, Microsoft Edge, Vivaldi, Arc, Opera, Brave e Chromium, porque eles compartilham o mesmo protocolo DevTools, sinalizadores de inicialização e criptografia de cookies.
O módulo inicia o executável do navegador legítimo no modo headless com opções de linha de comando que enfraquecem as defesas do navegador, duplica o perfil da vítima e especifica sua localização para armazenar os dados do perfil.
O malware então estabelece um canal WebSocket que se conecta à retransmissão do operador e envia uma mensagem de registro JSON contendo o nome e a construção do navegador.
O operador pode então enviar comandos por esse canal, como navegação e cliques do mouse, enquanto o malware retorna informações de status e guias como JSON e transmite quadros de screencast como mensagens binárias WebSocket.
Um segundo canal WebSocket se conecta à instância local headless do Chromium por meio do webSocketDebuggerUrl do navegador, fornecendo acesso ao Chrome DevTools Protocol (CDP).
Isso permite que o hacker navegue em sites com controle de mouse e teclado, exporte ou importe cookies e opere portais online usando as sessões autenticadas existentes da vítima.
“O operador recebe um screencast ao vivo da sessão em torno de 3fps e pode conduzi-lo com um conjunto completo de entradas: teclado, mouse, rolagem, navegação e gerenciamento de guias”, explica Jamf.
"Na verdade, o comando remote_stream transforma um host infectado em um navegador ativo, controlado pelo operador, executando as sessões autenticadas da vítima, que é um nível de acesso materialmente diferente da coleta de arquivos."
Do screencast ao vivoFonte: Jamf
De acordo com os pesquisadores, o AmnesiaStealer pode exfiltrar cookies, logins salvos, histórico de navegação, favoritos, extensões, estado local e outros dados de perfil dos 16 navegadores baseados em Chromium que visa.
Ele também rouba detalhes da carteira de criptomoedas e os identifica enumerando extensões e dados do IndexedDB.
Jamf observa que o malware contém um mecanismo de fallback quando é executado no macOS 26 e não pode recuperar a chave existente do Chrome Safe Storage, que a substituiu por um valor fornecido pelo invasor.
Isso torna os cookies e senhas armazenados anteriormente permanentemente ilegíveis, ao mesmo tempo que permite que o invasor descriptografe os dados posteriormente.
O protocolo Chrome DevTools (CDP) foi abusado por malware no passado, inclusive pelo ransomware Chaos para ocultar comunicações de comando e controle e pelo malware Chaes para expor funções do navegador que poderiam permitir o roubo de dados.
No entanto, AmnesiaStealer parece ser o primeiro malware documentado para macOS a combinar um perfil clonado do Chromium com controle remoto ao vivo baseado em CDP, permitindo que invasores interajam com sessões autenticadas por meio de um navegador oculto em execução no computador infectado.
Os usuários são aconselhados a nunca executar comandos no terminal que encontraram online e não entendem totalmente.
Depois que os invasores tiverem credenciais válidas, apenas 37% de suas ações serão bloqueadas
Geral p
#samirnews #samir #news #boletimtec #error #500 #(erro #do #servidor)!!1500.isto #é #um #erro.ocorreu #um #erro. #tente #novamente #mais #tarde.isto #é #tudo #que #sabemos.
🎉 Obrigado por acompanhar, até a próxima notícia!
Postar um comentário