Pesquisadores do SophosLab divulgaram nesta semana a descoberta de um novo tipo de ataque, com foco especial em usuários de Macs.

A ameaça consiste em um e-mail de “entrega não efetuada”, enviado por uma suposta empresa de correios e apresentando um link para download – que curiosamente identifica o sistema operacional usado pela vítima.

A tática do e-mail falso não é exatamente nova, mas nesse caso, o diferencial é exatamente esse uso de uma “URL inteligente”.

Explicando melhor, caso o endereço falso seja aberto no Firefox ou no Chrome do Windows, por exemplo, um arquivo ZIP será baixado – e se aberto, instalará uma variável do malware Zeus na máquina. Mas se o mesmo link for carregado especificamente no Safari do Mac, um item compactado alternativo, com outro conteúdo, aparecerá nos downloads.

A parte mais preocupante, no entanto, é que o OS X Mavericks (versão mais recente do sistema da Apple) descompacta os arquivos baixados automaticamente por padrão, como aponta o blog NakedSecurity. Isso faz com que ele seja mostrado como um PDF na pasta de downloads do Mac – o que, segundo os especialistas, funciona apenas como “disfarce”.

Ao tentar abri-lo para checar os dados da suposta entrega, o usuário é avisado pelo sistema de que o PDF não é um documento de fato, e sim uma aplicação – que conta até mesmo com uma assinatura de “legitimidade”. Se a vítima resolver ignorar o alerta e prosseguir com a abertura, um processo chamado “foung” será executado em segundo plano.

A ameaça funciona mais ou menos como a que afeta o Windows, e é identificada pelos antivírus como LaoShu-A. Sua função principal, segundo os especialistas da Sophos, é roubar dados, com códigos dedicados a “procurar por arquivos com extensões como DOC, DOCX, XLS, XLSX, PPT e PPTX”, zipá-los e enviá-los para servidores operados pelos invasores. Ele também é capaz de baixar novos arquivos e até rodar comandos remotos.

Evitar o malware não é difícil, no entanto. Para começar, o e-mail que chega à caixa de entrada do usuário estará em inglês. Portanto, você já poderia ignorá-lo caso não tivesse comprado nada no exterior. O texto também traz erros ortográficos, como nota a Sophos, e o arquivo PDF que vem dentro do ZIP não é um documento, como alerta o sistema. Ou seja, é preciso ser bem descuidado para ser uma vítima – mas as consequências são grandes.