JINX-0164 revela uma ameaça que une engenharia social e malware multiplataforma para roubar ativos e sabotar a cadeia de fornecimento

Um novo grupo de ameaças identificado pela assinatura Wiz, que nomearam como JINX-0164, colocou em evidência uma mistura perigosa de engenharia social muito dirigida e malware personalizado para macOS com o objetivo explícito de roubar ativos digitais e comprometer cadeias de fornecimento de software. Segundo a análise publicada pelos pesquisadores, o ator tem estado ativo desde, pelo menos, meados de 2025 e focaliza seus esforços em desenvolvedores e equipamentos de infraestrutura de código, aproveitando processos de recrutamento falsos e reuniões virtuais simuladas para introduzir seu malware em ambientes de desenvolvimento e CI/CD.

O vetor social é especialmente sofisticado: perfis credíveis no LinkedIn contactam as vítimas oferecendo entrevistas ou recrutamento, e a suposta reunião virtual se serve de domínios fraudulentos que imitam fornecedores de videoconferência. A ligação da reunião leva a um instalador que, quando executado, baixe um sequenciador que invoca um infostealer em Python e um troiano de acesso remoto apodado AUDIOFIX, tudo orquestrado de domínios falsos com aparência de lojas de drivers da Apple. Os binários foram concebidos para serem compatível tanto com a Intel como com a Apple Silicon, camuflados como um driver de áudio do sistema e executados mediante launchctl, técnicas que dificultam sua detecção por usuários desprevenidos.

Desde o endpoint comprometido, os atacantes não ficam no roubo de credenciais locais: aproveitam os acessos para se mover lateralmente para sistemas de distribuição de código e pipeline de desenvolvimento. Em um ou mais incidentes documentados, os atacantes até modificaram código-fonte com a intenção de propagar a intrusão a outras máquinas ou interceptar chaves e carteiras de criptomoeda. Entre os artefatos exfiltrados figuram senhas de gestores e navegadores, arquivos do iCloud Keychain, credenciais de administração local, chaves SSH, histórias de consola, extensões e endereços de carteiras crypto, e sessões ativas no Telegram, Discord e Slack.

A campanha também reutiliza outra técnica recentemente observada na cadeia de abastecimento do ecossistema JavaScript: a distribuição de um backdoor escrito em Go chamado MiniRAT através de uma versão comprometida de um pacote npm associado a um projeto DeFi. Esse vetor demonstra duas lições claras: os desenvolvedores e plataformas DeFi são objetivos de alto valor, e as dependências de terceiros continuam a ser um ponto único de falha para ambientes críticos.

As implicações para organizações que gerem ativos digitais ou desenvolvem software são severas. Primeiro, a combinação de engenharia social dirigida e o uso de ferramentas legítimas disfarçadas (instaladores, drivers, ferramentas de meeting) aumenta a probabilidade de sucesso e complica a detecção baseada apenas em assinaturas. Segundo, a capacidade de se mover de estações de trabalho de desenvolvedores para pipelines de CI/CD torna um compromisso inicial em um risco sistémico de integridade do software e perda de fundos.

Para mitigar este tipo de ameaças é crítico aplicar medidas tanto técnicas como organizacionais. No plano técnico, convém forçar a gestão centralizada de endpoints macOS através de MDM, bloquear a execução de binários não assinados ou não notarizados por políticas, e monitorar chamadas de launchctl, downloads de domínios suspeitos e atividade incomum de CLI. A nível de CI/CD, os controlos de isolamento devem ser implementados entre estações de trabalho e pipelines, segregar credenciais (não armazenar chaves privadas ou tokens em máquinas de desenvolvimento), habilitar a rotação imediata de chaves e tokens após qualquer suspeita e usar assinaturas reprodutíveis e verificáveis para binários e artefatos de implantação. Além disso, a digitalização contínua de dependências e a fixação de versões (lockfiles) em gestores de pacotes como npm reduzem a janela de exposição a pacotes comprometidos. Para guias de risco em cadeias de fornecimento e melhores práticas, convém rever materiais oficiais como os da CISA: https://www.cisa.gov/supply-chain.

No aspecto humano e de processos é imprescindível elevar a suspeita diante de contatos inesperados que peçam executar software, especialmente se vêm com a desculpa de uma entrevista ou um “fix” técnico. A verificação por canais independentes de qualquer oferta de emprego ou reunião, a formação específica para engenheiros e recrutadores internos e procedimentos claros para validar instaladores (por exemplo, verificação de assinaturas digitais e hashes com fontes oficiais) são controles de baixo custo e alto impacto. As organizações que publicam vagas ou contratam remotamente devem auditar e filtrar contas de recrutadores associados e centralizar as convocatórias através de ferramentas corporativas oficiais.

Se suspeitar de uma infecção, as ações de resposta devem priorizar a contenção: isolar os endpoints afetados da rede, preservar imagens forenses dos sistemas comprometidos, coletar indicadores de compromisso (domínios, hashes, IPs), e rotar todas as credenciais afetadas (tanto humanas como máquinas). Rever e restaurar a integridade de artefatos nas pipelines desde fontes limpas e verificar reprodutibilidade do código antes de reinstaurar implantaçãos em produção são passos chave para evitar uma segunda brecha. Para recursos e documentação técnica sobre segurança de pacotes e ecossistemas de código aberto, a documentação oficial do npm fornece recomendações práticas: https://docs.npmjs.com/.

Por último, embora alguns traços operacionais — como o uso de serviços VPN e a focalização em criptomoedas — lembrem-se de campanhas de certos grupos estatais, Wiz esclarece que, por agora, Não há sobreposições de infraestrutura que permitam atribuir confiança a atores norte-coreanos. Essa cautela na atribuição sublinha uma verdade mais ampla: a motivação financeira e a adaptabilidade técnica estão impulsionando uma nova geração de ameaças que misturam engenharia social, supply chain e malware multiplataforma. Para as organizações no ecossistema crypto e para as equipas de desenvolvimento, a pergunta já não é se serão alvo, mas quando; preparar e aplicar controlos concretos pode marcar a diferença entre um incidente contenível e a perda irreversível de ativos.