A macOS-es kártevő Telegram-munkameneteket és tárcákat céloz

A macOS rendszert és a kriptotárcákat célzó kártevő nem egyetlen alkalmazásra összpontosít. A macOS Keychain jelszavai mellett Safari-sütiket, Apple Notes-bejegyzéseket, böngészős tárcabővítmények adatait és a helyi alkalmazások adatbázisait gyűjti össze.

A megszerzett információkat a támadók többféleképpen használhatják fel. A SlowMist elkülönített tesztkörnyezetben reprodukálta a teljes támadási láncot, beleértve a jelszavak és a már hitelesített helyi munkamenetek megszerzését is.

Az összehangolt adatgyűjtés azért veszélyes, mert ugyanarról a fertőzött eszközről több fiók és tárca védelméhez szükséges információ kerülhet illetéktelen kézbe.

A célpontok között az Exodus, az Atomic, az Electrum, a Wasabi és a Monero szoftveres tárcája is szerepel. A kártevő emellett a Ledger Live és a Trezor Suite alkalmazásokhoz tartozó adatokat is keresi.

A teljes csomópontot futtató kliensek sem maradnak ki: a Bitcoin (63 006 dollár) hálózatához készült Bitcoin Core mellett a Litecoin Core, a Dash Core és a Dogecoin Core helyi állományai is célpontok. A támadók az ellopott jelszavakkal offline próbálhatják visszafejteni a megszerzett adatbázisokat.

Másik lehetséges módszerként a valódi Ledger- és Trezor-alkalmazást hamis verzióra cserélhetik, amely a helyreállítási kifejezés megadására próbálja rávenni a felhasználót.

A Telegram kétlépcsős azonosítása azért nem nyújt védelmet ebben a helyzetben, mert a támadó nem kezdeményez új bejelentkezést. Ehelyett a Telegram Desktop helyben tárolt, korábban már hitelesített munkamenetadatait másolja át egy másik Mac gépre.

Az új belépéshez kapcsolódó ellenőrzések így nem aktiválódnak. A SlowMist kísérletében az átvitt adatok elegendőnek bizonyultak ahhoz, hogy a másik gépen folytassák a meglévő munkamenetet.

A fiók hitelesítési adatai és a már engedélyezett munkamenet tehát elkülönülnek egymástól: az erős jelszó és a kétlépcsős azonosítás önmagában nem érvényteleníti az ellopott helyi munkamenetet.

Feltételezett fertőzésnél a SlowMist első lépésként az összes meglévő Telegram-munkamenet azonnali megszüntetését ajánlja. Ezután megbízható eszközről újra be kell jelentkezni, továbbá módosítani kell a kétlépcsős azonosítás jelszavát és a Telegram Desktop belépési kódját.

A tárcáknál önmagában a jelszócsere nem feltétlenül elég, ha a támadó megszerezhette a helyreállítási kifejezést vagy az azt bekérő hamis alkalmazást telepített. A biztonsági cég ezért tiszta eszközön létrehozott új helyreállítási kifejezést és új címeket javasol.

A meglévő kriptoeszközöket ezekre az új címekre kell átmozgatni, hogy a korábban megszerzett adatokkal a támadó ne férhessen hozzá az eszközökhöz.