Atores de ameaças alinhados à Coreia do Norte estão aproveitando sites falsos de recrutamento de empregos para enganar os usuários do macOS e fazê-los executar comandos maliciosos do Terminal que entregam o malware FlexibleFerret, de acordo com uma análise recente do Jamf Threat Labs.
A campanha, atribuída à operação Contagious Interview, representa uma iteração refinada de táticas de engenharia social projetadas para contornar as proteções de segurança do macOS, como o Gatekeeper.
Uma análise do início de 2025 feita pelo SentinelOne primeiro identificado a família de malware FlexibleFerret como parte de operações alinhadas à RPDC.
A família de malware rapidamente se tornou associada a elaboradas iscas de recrutamento falsas que orientam as vítimas através de processos de contratação escalonados, culminando na execução do malware.
Nas últimas semanas, pesquisadores de segurança observaram novas variantes desta campanha visando ativamente usuários do macOS por meio de portais de avaliação de contratação meticulosamente elaborados.
O ataque começa com arquivos JavaScript hospedados em sites de recrutamento falsos, como o evaluza[.]com e certificado de proficiência[.]com.
Esses sites são projetados para aparecerem como plataformas de contratação legítimas, oferecendo cargos com descrições como “Gerente de operações de capital Blockchain”.
As vítimas recebem avaliações de contratação com aparência profissional e são solicitadas a enviar apresentações em vídeo e fornecer informações pessoais, estabelecendo uma aparência de legitimidade.
Após concluir a avaliação, as vítimas recebem instruções para executar um comando curl no Terminal macOS.
A caça subsequente a ameaças no VirusTotal revelou vários arquivos JavaScript carregados recentemente fazendo referência a esse script de shell.
Os invasores empregam uma técnica de manipulação psicológica, alegando falsamente que o acesso à câmera ou ao microfone está bloqueado e que a execução do comando resolverá o problema.
Persistência e coleta de credenciais
O segundo estágio envolve um script de shell sofisticado que determina a arquitetura do host e baixa cargas específicas da arquitetura de servidores controlados pelo invasor.
Na realidade, o comando curl baixa um script de shell para /var/tmp/macpatch.sh, marca-o como executável e inicia-o em segundo plano.
O script estabelece persistência criando um LaunchAgent em ~/Library/LaunchAgents que executa automaticamente o malware no login.
Além disso, ele implanta um aplicativo enganoso chamado MediaPatcher.app, que exibe um prompt falso de acesso à câmera do Chrome seguido por uma caixa de diálogo de entrada de senha no estilo do Chrome para coletar as credenciais do usuário.
Os exfiltrados de malware capturados credenciais através do endpoint legítimo da API do Dropbox, ofuscando a comunicação C2 concatenando fragmentos de string.
Ele também consulta api.ipify.org para obter o endereço IP público da vítima para fins de reconhecimento.
A carga final é um backdoor baseado em Golang que gera um identificador de máquina exclusivo e estabelece conexão com o servidor de comando e controle em 95.169.180.140:8080.
Implicações para a segurança empresarial
O backdoor oferece suporte a vários recursos maliciosos, incluindo coleta de informações do sistema, operações de upload e download de arquivos, execução de comandos do sistema operacional, coleta de perfis do Chrome, roubo de dados de login e exfiltração de credenciais de armazenamentos de chaves do navegador.
Esta ameaça em evolução demonstra o quão sofisticado engenharia social continua a contornar os controlos técnicos de segurança.
Ao explorar a confiança do usuário em processos de recrutamento aparentemente legítimos e ao manipular as vítimas para que executem voluntariamente comandos do Terminal, os invasores contornam as proteções do sistema operacional projetadas para impedir a execução não autorizada de códigos.
As organizações devem implementar uma formação de sensibilização abrangente, enfatizando que as entrevistas de emprego não solicitadas, especialmente aquelas que solicitam a execução de comandos do Terminal, representam riscos críticos de segurança.
Tratar as comunicações de recrutamento inesperadas e as instruções de “correção” baseadas em terminais como indicadores de alto risco é essencial à medida que essas táticas se tornam cada vez mais predominantes no cenário de ameaças.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.