Trojan rouba Bitcoins e é voltado para OS X

A SecureMac descobriu um novo trojan que tem como foco o OS X e espiona tráfego web para roubar Bitcoins. O malware OSX/CoinThief.A se disfarça se aplicativo para enviar e receber pagamentos em Bitcoin Stealth Addresses, e secretamente monitora todo do tráfego de navegação web para roubar credenciais de login de carteiras Bitcoin.

A infecção inicial acontece quando um usuário instala e roda um app chamado StealthBit, que recentemente estava disponível para download no GitHub. O código fonte para o StealthBit foi originalmente postado no GitHub, junto com uma cópia pré-compilada do app para download.

Essa cópia pré-compilada não correspondia à cópia gerada a partir do código fonte, já que continha vírus. Assim, usuários que baixaram e executaram a versão pré-compilada do StealthBit acabaram com sistemas infectados.

Disfarçado de um app para enviar e receber pagamentos em Bitcoin Stealth Addresses, o OSX/CoinThief.A instala extensões de navegadores que monitora todo o tráfego de navegação web em busca de credenciais de login para vários sites populares de Bitcoin, como MtGox e BTC-e, assim sites de carteira Bitcoin, como blockchain.info.

Quando as credenciais de login são identificadas, outro componente do malware envia as informações de volta para um servidor remoto controlado pelos autores do trojan.

Após rodar o programa pela primeira vez, o malware instala extensões de navegadores para Safari e Chrome, sem alertar o usuário. Os browsers são enganados e pensam que o usuário instalou as extensões intencionalmente, e não o avisam que todo o seu tráfego de navegação web está sendo monitorado por extensões maliciosas.

Além disso, o malware instala um programa que continuamente roda no background, procurando por credenciais de carteiras Bitcoin, que então são enviadas para um servidor remoto. O OSX/CoinThief.A pode enviar informações e receber comandos de um servidor remoto, incluindo uma funcionalidade de se atualizar para versões mais novas.

As informações coletadas não estão limitadas a credenciais de login do Bitcoin, mas também incluem nome de usuário e UUID (unique identifier) do Mac infectado, além da presença de vários apps relacionados a Bitcoin no sistema.

O autor do malware tomou algumas providências para disfarçar o trabalho do OSX/CoinThief.A. As extensões receberam nomes genéricos, como “Pop-Up Blocker” e possuem descrições genéricas – “Bloqueio de pop-ups ou outros aborrecimentos”. O malware também verifica se programas de segurança ou ferramentas de desenvolvimento de código estão presentes no sistema infectado, o que às vezes é feito como uma tentativa de impedir de pesquisadores de segurança analisem um pedaço do malware.

Com informações de Help Net Security