Ook een Mac is niet veilig: nieuwe malware aast op cryptomunten

Een nieuwe vorm van malware voor macOS vormt een serieuze bedreiging voor gebruikers van Telegram Desktop en crypto wallets. Volgens beveiligingsbedrijf SlowMist kan de schadelijke software actieve Telegram-sessies stelen, wachtwoorden buitmaken en bestanden van crypto wallets kopiëren. Daardoor kunnen cybercriminelen uiteindelijk volledige controle krijgen over accounts en crypto. Opvallend is dat zelfs de tweestapsverificatie van Telegram deze aanval niet weet te stoppen.

Telegram en crypto wallets belangrijkste doelwit

Volgens SlowMist is de malware ontwikkeld om zoveel mogelijk gevoelige gegevens van een Mac te verzamelen. Daarbij richt de software zich onder meer op de macOS Keychain, waarin wachtwoorden worden opgeslagen, Safari-cookies, Apple Notes, Telegram Desktop en bestanden van verschillende crypto wallets.

Daarnaast kopieert de malware actieve Telegram-sessies, walletbestanden en gegevens van browserextensies die worden gebruikt voor crypto. Met die informatie kunnen aanvallers uiteindelijk accounts en wallets overnemen.

Na het buitmaken van de gegevens proberen cybercriminelen walletbestanden offline te ontgrendelen met wachtwoorden die eveneens van het besmette apparaat zijn gestolen.

SlowMist waarschuwt daarnaast voor een tweede aanvalsmethode. Daarbij vervangen aanvallers de officiële software van hardwarewallets, zoals Ledger Live en Trezor Suite, door vervalste versies. Gebruikers worden vervolgens verleid om hun herstelzin in te voeren. Met deze reeks woorden kan een wallet volledig worden hersteld, waardoor aanvallers direct toegang krijgen tot alle crypto.

Het beveiligingsbedrijf laat weten dat deze volledige aanvalsketen succesvol is nagebootst in een gecontroleerde testomgeving.

Grote groep wallets loopt risico

De malware richt zich op een groot aantal populaire wallets. Onder de getroffen softwarewallets bevinden zich onder meer Exodus, Atomic Wallet, Electrum, Wasabi Wallet en Monero.

Ook applicaties voor hardwarewallets, waaronder Ledger Live en Trezor Suite, zijn doelwit. Daarnaast zoekt de malware naar gegevens van full-nodeprogramma’s zoals Bitcoin Core, Litecoin Core, Dash Core en Dogecoin Core. Dit zijn programma’s waarmee gebruikers zelf een volledige kopie van een blockchain beheren.

Door verschillende aanvalstechnieken te combineren vergroten cybercriminelen de kans om toegang te krijgen tot wallets en de bijbehorende accounts.

Tweestapsverificatie biedt geen bescherming

Opvallend is dat de tweestapsverificatie van Telegram deze aanval niet kan voorkomen. Normaal gesproken voorkomt deze extra beveiligingslaag dat onbevoegden kunnen inloggen op een account.

In dit geval wordt echter geen nieuwe aanmelding uitgevoerd. De malware misbruikt een al geverifieerde Telegram Desktop-sessie die op de besmette Mac aanwezig is. Tijdens tests slaagden onderzoekers erin een gestolen Telegram-sessie op een andere Mac te herstellen zonder een telefoonnummer, verificatiecode of wachtwoord voor tweestapsverificatie in te voeren.

SlowMist adviseert gebruikers die vermoeden dat hun Mac is geïnfecteerd om direct alle actieve Telegram-sessies te beëindigen. Log vervolgens opnieuw in vanaf een vertrouwd apparaat en wijzig zowel het wachtwoord voor tweestapsverificatie als de toegangscode van Telegram Desktop.

Voor bezitters van crypto wallets is het advies nog dringender. Maak op een schoon apparaat een volledig nieuwe herstelzin aan en verplaats alle crypto zo snel mogelijk naar nieuwe walletadressen. Zo verklein je de kans dat aanvallers alsnog toegang krijgen tot bestaande wallets.