GoldPickaxe: Conheça o primeiro Trojan para iOS

Nos últimos anos, o cenário de ameaças cibernéticas tem testemunhado um aumento preocupante na sofisticação e na diversificação de malwares, com hackers constantemente inovando suas táticas para atingir novas metas. Agora, um trojan chamado GoldPickaxe pode ter colocado os usuários de iOS na mira dos cibercriminosos. 

Em outubro de 2023, a nova ameaça surgiu no radar dos pesquisadores de segurança cibernética. O GoldPickaxe, um trojan iOS até então desconhecido, foi descoberto pela unidade de Inteligência de Ameaças do Group-IB. Uma ramificação para Android já existia, mas a versão para iOS pegou muitos pesquisadores de surpresa.

Isso porque esse trojan representa uma evolução significativa no cenário de malware, já que desafia a percepção comum de que dispositivos iOS são imunes a ameaças do gênero. A descoberta deve mexer significativamente com o mundo da tecnologia mais uma vez.

Uma ameaça assustadora

A escolha do nome GoldPickaxe pelos pesquisadores do Group-IB está associada à capacidade do malware de “cavar” informações sensíveis dos dispositivos iOS. Entre os dados que ele é capaz de coletar estão documentos de identidade, mensagens SMS e até mesmo dados de reconhecimento facial.

Essa ampla gama de informações confidenciais torna o malware uma ameaça grave à privacidade e segurança dos usuários de dispositivos iOS, que normalmente não se preocupam com ameaças em iPhones, iPads e outros produtos Apple.

De acordo com o Group-IB, o fato do trojan funcionar tanto para Android, quanto para iOS, confirma a sofisticação dos ataques criados pelos grupos de cibercriminosos, bem como sua capacidade de adaptar estratégias para atingir diversos dispositivos e sistemas operacionais.

Como é distribuído o GoldPickaxe?

A distribuição do GoldPickaxe segue um padrão familiar de engenharia social onde os usuários são manipulados a instalar o malware em seus dispositivos. De acordo com o estudo, inicialmente o trojan foi distribuído através do TestFlight, a plataforma de teste de apps da Apple. 

“O TestFlight serve como uma ferramenta para desenvolvedores distribuírem e testarem a fase beta de seus aplicativos iOS antes do lançamento oficial na App Store. A plataforma oferece uma variedade de métodos de teste e permite que os desenvolvedores convidem usuários para testar seus aplicativos”, explica o relatório.

Portanto, os cibercriminosos aproveitaram os recursos da plataforma para distribuir aplicativos falsos de criptomoedas. Os usuários receberam URLs com domínio da Apple para download do aplicativo, o que levou as vítimas a confiarem e fazerem a instalação.

“Como essas URLs carregam o domínio da Apple, os usuários geralmente os consideram confiáveis. Infelizmente, esta confiança equivocada leva os utilizadores a instalar softwares aparentemente legítimos, expondo inconscientemente os seus dispositivos a ameaças maliciosas”, explica o estudo.

Após a remoção dos aplicativos maliciosos do TestFlight, os hackers mudaram sua abordagem para persuadir as vítimas a instalar um perfil de Gerenciamento de Dispositivos Móveis (MDM), concedendo a eles controle total sobre os dispositivos comprometidos. Desta forma, eles tiveram acesso a milhares de dados sensíveis.

“O MDM é uma solução abrangente e centralizada para gerenciar e proteger dispositivos móveis, como smartphones e tablets, dentro de uma organização”, diz o relatório. O objetivo principal do MDM é simplificar as tarefas de gerenciamento de dispositivos, aprimorar a segurança e garantir a conformidade com as políticas organizacionais ao implantar aplicativos.  

Uma das características mais preocupantes desse ataque é a possibilidade da criação de vídeos deepfake a partir dos dados de leitura facial coletados. Ao combinar os dados de reconhecimento facial roubados com documentos obtidos ilegalmente, os hackers podem comprovar que são uma de suas vítimas e movimentar valores exorbitantes de suas contas bancárias.

Ainda de acordo com a Group-IB, em fevereiro de 2024 surgiram notícias de que um cidadão vietnamita foi vítima de um aplicativo móvel malicioso. O indivíduo realizou as operações solicitadas pelo aplicativo, incluindo a realização de uma varredura de reconhecimento facial e, como resultado, os cibercriminosos retiraram o equivalente a US$ 40.000,00 de sua conta.

Mesmo que os estudiosos não consigam ter certeza se esse golpe foi obra do GoldPickaxe, as características do ataque são muito similares ao modo de atuação desse trojan. 

Como se proteger dos riscos deste malware?

De acordo com o Group-IB, algumas formas de se proteger são:

• Não clicar em links suspeitos: o malware geralmente se espalha por meio de links maliciosos em e-mails, mensagens de texto e postagens em redes sociais;
• Baixe aplicativos apenas de plataformas oficiais, como a Apple App Store;
• Revise cuidadosamente as permissões solicitadas ao instalar um novo aplicativo e fique extremamente alerta quando os aplicativos solicitarem o Serviço de Acessibilidade;
• Não adicione pessoas desconhecidas;
• Ao entrar em contato com seu banco, encontre e use o número de contato oficial. Não clique no alerta/pop-up do banco se achar que seu dispositivo foi infectado;
• Se você acredita que foi vítima de fraude, entre em contato com seu banco para congelar todas as contas bancárias acessadas pelo seu dispositivo.