O grupo de pesquisadores da SentinelLABS identificou um novo v\u00edrus para Mac, batizado de macOS.Gaslight. O implante usa uma t\u00e1tica in\u00e9dita para escapar da detec\u00e7\u00e3o e manter a invas\u00e3o silenciosa. A descoberta ocorreu ap\u00f3s an\u00e1lise de um arquivo suspeito.<\/p>\n
Segundo os pesquisadores, o malware \u00e9 um infostealer desenvolvido em Rust, exclusivo para macOS. A Apple j\u00e1 atualizou o XProtect para tentar detectar o arquivo, mas, no momento da identifica\u00e7\u00e3o, outros antiv\u00edrus n\u00e3o o\u8bc6 detectavam.<\/p>\n
A empresa atribui alto grau de confian\u00e7a a um grupo de hackers com liga\u00e7\u00f5es \u00e0 Coreia do Norte. A classifica\u00e7\u00e3o da Apple como BONZAI, j\u00e1 associada a atividades norte-coreanas, refor\u00e7a a linha de atribui\u00e7\u00e3o apresentada.<\/p>\n
O aspecto mais incomum \u00e9 um bloco de 3,5 KB embutido no arquivo, com 38 mensagens falsas que simulam falhas de IA. O objetivo \u00e9 induzir o sistema de an\u00e1lise automatizada a interromper a investiga\u00e7\u00e3o.<\/p>\n
Trecho do m\u00f3dulo de coleta em Python embutido no implante exp\u00f5e fun\u00e7\u00f5es para capturar dados do navegador, hist\u00f3rico do terminal, lista de apps, processos ativos e o login.keychain-db. Os dados s\u00e3o compactados e enviados ao operador pelo Telegram.<\/p>\n
O prompt injection \u00e9 utilizado para disfar\u00e7ar instru\u00e7\u00f5es dentro dos dados processados pela IA, manipulando respostas de erro e confundindo a an\u00e1lise automatizada.<\/p>\n
O v\u00edrus usa o Telegram para receber ordens e enviar dados roubados. A API gratuita facilita a cria\u00e7\u00e3o de bots, usados como canal de comando. Todo o tr\u00e1fego \u00e9 criptografado com AES-GCM e passa por certificado personalizado.<\/p>\n
Imagens do c\u00f3digo mostram como o malware lida com respostas da API do Telegram. erros do bot, como Forbidden ou Invalid bot token, aparecem na l\u00f3gica de autentica\u00e7\u00e3o do canal.<\/p>\n
Para permanecer ativo ap\u00f3s reinicializa\u00e7\u00f5es, o malware cria um arquivo de configura\u00e7\u00e3o disfar\u00e7ado de servi\u00e7o Apple, com o identificador com.apple.system.services.activity. A camuflagem recorre a dom\u00ednio oficial da Apple para dificultar a detec\u00e7\u00e3o.<\/p>\n
O macOS.Gaslight representa evolu\u00e7\u00e3o na evas\u00e3o por IA. Analistas afirmam que esse tipo de abordagem tende a aumentar conforme ferramentas automatizadas ganham uso. A recomenda\u00e7\u00e3o \u00e9 tratar todo conte\u00fado inspecionado como potencialmente hostil.<\/p>\n","protected":false},"excerpt":{"rendered":"