Este 'ModStealer' Invisível Está Alvejando Suas Carteiras Cripto Baseadas em Navegador

Uma nova variante de malware, especificamente desenvolvida para roubar dados de carteiras de criptomoedas, está passando despercebida por todos os principais mecanismos antivírus, segundo a empresa de segurança para dispositivos Apple Mosyle.

Apelidado de ModStealer, o infostealer está ativo há quase um mês sem ser detectado por scanners de vírus. Pesquisadores da Mosyle afirmam que o malware está sendo distribuído por meio de anúncios maliciosos de recrutadores que têm como alvo desenvolvedores e utiliza um script NodeJS fortemente ofuscado para contornar defesas baseadas em assinaturas.

Isso significa que o código do malware foi embaralhado e sobreposto com truques que o tornam ilegível para ferramentas antivírus baseadas em assinaturas. Como essas defesas dependem da identificação de “padrões” de código reconhecíveis, a ofuscação os oculta, permitindo que o script seja executado sem detecção.

Na prática, isso permite que atacantes insiram instruções maliciosas em um sistema enquanto contornam verificações de segurança tradicionais que normalmente detectariam códigos mais simples e não alterados.

Ao contrário da maioria dos malwares focados em Mac, o ModStealer é multiplataforma, atingindo também ambientes Windows e Linux. Sua missão principal é a exfiltração de dados, e presume-se que o código inclua instruções pré-carregadas para atacar 56 extensões de carteiras de navegador, projetadas para extrair chaves privadas, credenciais e certificados.

O malware também suporta sequestro da área de transferência, captura de tela e execução remota de código, concedendo aos atacantes a capacidade de assumir controle quase total dos dispositivos infectados. No macOS, a persistência é alcançada por meio da ferramenta de inicialização da Apple, incorporando-se como um LaunchAgent.

A Mosyle declara que a construção está alinhada com o perfil de "Malware-como-Serviço", onde desenvolvedores vendem ferramentas prontas para afiliados com expertise técnica limitada. O modelo impulsionou um aumento nos infostealers este ano, com a Jamf relatando uma alta de 28% somente em 2025.

A descoberta surge logo após recentes ataques focados no npm, nos quais pacotes maliciosos como colortoolsv2 e mimelib2 utilizaram contratos inteligentes Ethereum para ocultar malware de segunda etapa. Em ambos os casos, os atacantes aproveitaram a obfuscação e a infraestrutura de desenvolvedores confiáveis para contornar a detecção.

ModStealer amplia esse padrão além dos repositórios de pacotes, mostrando como os cibercriminosos estão intensificando suas técnicas em diversos ecossistemas para comprometer ambientes de desenvolvedores e alvos diretamente as carteiras de criptoativos.