Contagious Interview 2.0: telas enganosas, EtherHiding e backdoor macOS que usa a cadeia de blocos para esconder seu C2

Uma nova reviravolta na campanha conhecida como Contagious Interview, ligada a atores com supostos laços com a Coreia do Norte, mostra como a engenharia social e a tecnologia blockchain estão se combinando para evitar deteções e pressionar vítimas do macOS a executar código malicioso. Em vez de um email de phishing ou uma entrevista falsa, a vítima chega a uma página de um resultado de busca patrocinado e, ao abri-la, encontra-se com uma ecrã completo que simula uma actualização ou reinício do sistema. Enquanto o usuário entra em pânico e acredita que a equipe falhou, o site copia silenciosamente um comando para a área de transferência e pede que o pegue no Terminal: uma variação do truque conhecido como ClickFix.

A ameaça não se limita ao susto. O comando baixado executa um backdoor em Node.js que persiste por um LaunchAgent e, de forma pouco habitual para campanhas anteriores do mesmo cluster, resolve seu servidor de comando e controle (C2) consultando um contrato inteligente no Ethereum. Este método — denominado EtherHiding — permite publicar a direção do C2 na cadeia de blocos, o que dificulta os trabalhos de derrebo e atribuição porque o conteúdo está replicado e resistente à eliminação centralizada. O implant verifica o servidor a cada cinco minutos e pode receber e executar JavaScript arbitrário, além de colocar duas cargas adicionais: um stealer que recolhe credenciais de navegadores, chaves SSH, AWS/Azure/npm e dados de 157 carteiras de criptomoedas, e uma extensão maliciosa que se instala ao patchar o arquivo Secure Preferences do Chrome para drenar fundos.

Além da técnica inovadora, a campanha revela uma operação com sinais de industrialização: contratos implantados por carteiras descartáveis, fundos mínimos para executá-los, escrita de configuração e abandono posterior, tudo replicado em um padrão automático. Essa logística sugere que o ator otimizadou o processo de implantação e operação para aumentar resiliência e escala. Os especialistas que analisaram a campanha sublinham também que, embora os grupos norte-coreanos tenham usado historicamente cebos relacionados com ofertas de emprego e entrevistas, o modelo de engano foi ampliado para aproveitar buscas legítimas e anúncios patrocinados, elevando o risco para usuários fora de perfis técnicos ou de contratação.

As implicações são múltiplas. No plano individual, os usuários do macOS que confiem em telas que imitam o sistema operacional correm o risco de executar comandos que parecem inocuos, mas instalam portas traseiras. Para as organizações, a capacidade do malware de roubar credenciais de serviços na nuvem e chaves de desenvolvimento pode traduzir-se em movimentos laterais e exfiltração prolongada. E para a comunidade de criptoactivos, a combinação de informações roubadas mais uma extensão capaz de manipular carteiras representa uma ameaça direta para fundos digitais. O uso da cadeia de blocos para esconder configurações de C2 adiciona também complexidade às respostas legais e operacionais porque os indicadores podem se mover ou reaparecer com novas direções.

O que pode fazer um usuário ou um responsável pela segurança hoje para reduzir o risco? Em primeiro lugar, nunca colar ou executar comandos em Terminal que procedam de páginas web, diálogos emergentes ou fontes não verificadas. Essa regra simples impede a maioria das técnicas ClickFix. Refuerce a higiene digital: active Gatekeeper e as proteções notarizadas do macOS, mantenha o sistema e o software atualizados, e restrinja as contas com privilégios de administrador para tarefas cotidianas. Em ambientes corporativos, implemente políticas que bloqueem a execução de binários não assinados e controle a persistência por inventários de LaunchAgents e LaunchDaemons. Para aqueles que usam criptodivisas, a recomendação é separar fundos quentes dos frios, adotar carteiras de hardware e revisar extensões de navegador instaladas; se detectar extensões que não instalou, desconfíe e elimínelas.

Do ponto de vista técnico, é aconselhável auditar os pontos onde se podem introduzir persistência e exfiltração: verifique arquivos em ~/Library/LaunchAgents e /Library/LaunchAgents, examine as mudanças nas preferências seguras do navegador e monitorize conexões salientes a domínios ou IPs incomuns. A transparência da cadeia de blocos, embora usada para esconder C2, também oferece um canal de pesquisa: endereços e transações relacionadas podem ser inspeccionadas publicamente em exploradores como Etherscan, o que ajuda a traçar padrões e clusters de financiamento usados pelo operador. Para contextualizar a descoberta e sua difusão mediática, você pode consultar cobertura especializada que resume esses vetores e atribuições em mídia de segurança como The Hacker News.

Finalmente, se suspeitar que foi comprometido, reduza a janela de exposição: desconecte o equipamento da rede, mude palavras-passe a partir de um dispositivo limpo, verifique e revoga chaves ou tokens comprometidos, e considere uma restauração a partir de cópia segura ou uma reinstalação completa se a intrusão for profunda. Reportar indicadores de compromisso ao seu fornecedor de segurança e colaborar com equipamentos de resposta a incidentes ajuda a conter a propagação. Este incidente lembra que a superfície de ataque não é apenas técnica, mas também humana: a combinação de engenharia social convincente e técnicas modernas como EtherHiding exige uma abordagem de defesa que mezcle consciência, controles técnicos e detetive proativo.