# MetaStealer > [!high] Infostealer macOS em Go - Empresas como Alvo, Roubo de Keychain > MetaStealer é um infostealer para macOS desenvolvido em Go, identificado pela SentinelOne em setembro de 2023. Distingue-se de outros infostealers macOS por ter foco explícito em ambientes corporativos: os operadores se passam por clientes potenciais ou parceiros de negócios para convencer vítimas a abrir DMGs maliciosos. Rouba credenciais do iCloud Keychain, dados do Telegram e arquivos do FileZilla. ## Visão Geral MetaStealer é um infostealer para macOS escrito em Go, analisado pela SentinelOne em setembro de 2023. O malware distingue-se no ecossistema de ameaças macOS por duas características: **Foco em empresas, não em consumidores**: A maioria dos infostealers macOS (como [[atomic-stealer|AMOS/Atomic Stealer]]) visa usuários individuais via software pirata. O MetaStealer adota engenharia social de nível mais sofisticado, com operadores se passando por potenciais clientes, parceiros de negócios ou fornecedores que "enviaram um arquivo para análise" - táticas mais características de APTs que de cibercrime massivo. **Keychain como alvo central**: O iCloud Keychain é o cofre de senhas integrado do macOS, protegendo credenciais de sites, aplicações, certificados e chaves privadas. O MetaStealer inclui código específico para extrair e exfiltrar o banco de dados do Keychain - uma capacidade que dá acesso a todo o ecossistema de senhas de uma vítima. O MetaStealer é compilado exclusivamente para Intel x86_64, não suportando nativamente Apple Silicon (M1/M2/M3) - embora possa ser executado via Rosetta 2 em Macs modernos. A comunicação C2 ocorre via TCP na porta 3000 para endereços IP diretamente referênciados no binário (sem domínios dinâmicos, o que facilita bloqueio mas indica desenvolvimento em andamento). Os samples analisados chegavam em DMG (imagens de disco) com nomes como `Advertising terms of reference.dmg`, `Brief_Prezentation.dmg` ou `Project Description.dmg` - temas coerentes com a engenharia social de contexto empresarial adotada. ## Capacidades de Roubo | Alvo | Dados Roubados | |------|----------------| | **iCloud Keychain** | Banco de dados completo de senhas, certificados e chaves privadas | | **Telegram** | Diretório tdata - acesso completo à conta sem necessidade de senha | | **FileZilla** | Credenciais de FTP armazenadas (sitemanager.xml) | | **Sistema** | Informações de hardware e configuração do macOS | | **Navegadores** | Credenciais de senhas (via acesso ao Keychain do sistema) | ## Como Funciona A cadeia de infecção do MetaStealer é projetada para enganar profissionais de negócios: ```mermaid graph TB A["💼 Engenharia Social<br/>Falso cliente/parceiro<br/>via email/Telegram"] --> B["📀 DMG Malicioso<br/>Imagem de disco<br/>com tema empresarial"] B --> C["⚙️ Execução Go<br/>Binário x86_64<br/>Mac Intel ou Rosetta"] C --> D["🔑 iCloud Keychain<br/>Dump completo<br/>senhas e certificados"] D --> E["📱 Telegram tdata<br/>Sessão completa<br/>sem autenticação"] E --> F["📂 FileZilla<br/>Credenciais FTP<br/>sitemanager.xml"] F --> G["📡 Exfiltração TCP<br/>Porta 3000<br/>para IP do C2"] ``` *Vetor social: pretexto de negócios via email/Telegram* ## Análise Técnica **Implementação em Go:** O Go foi escolhido por diversas razões táticas: binários Go são estáticos (sem dependências externas), multiplataforma com recompilação mínima, e historicamente tinham baixa detecção em motores antivírus no macOS. A análise SentinelOne revelou bibliotecas Go padrão para networking e estruturas de dados, com lógica de roubo implementada em Go puro. **Endereços C2 hardcoded:** Ao contrário de malware mais sofisticado que usa DGA (Domain Generation Algorithms) ou dead drop resolvers, o MetaStealer tem endereços IP de C2 hardcoded no binário. Isso simplifica rastreamento e bloqueio, mas sugere um malware ainda em desenvolvimento inicial. **Comparação com AMOS/Atomic Stealer:** ```mermaid graph TB subgraph MetaStealer MS_LANG["Go<br/>Compilado estático"] MS_ALVO["Empresas<br/>Engenharia social B2B"] MS_ALVO2["iCloud Keychain<br/>Telegram tdata"] MS_DIST["Distribuição direta<br/>por operadores"] end subgraph AMOS Atomic Stealer AT_LANG["Swift/ObjC<br/>Native macOS"] AT_ALVO["Consumidores<br/>Software pirata"] AT_ALVO2["Navegadores<br/>Carteiras cripto"] AT_DIST["MaaS via Telegram<br/>USD 1000/mês"] end ``` *Relacionado: [[atomic-stealer|AMOS/Atomic Stealer]]* ## TTPs MITRE ATT&CK | ID | Técnica | Fase | Descrição | |----|---------|------|-----------| | T1555.001 | Keychain | Coleta | iCloud Keychain - banco de dados completo | | T1555.003 | Credentials from Web Browsers | Coleta | Credenciais via acesso ao Keychain | | T1082 | System Information Discovery | Reconhecimento | Informações de hardware e macOS | | T1041 | Exfiltration over C2 Channel | Exfiltração | TCP porta 3000 para IP hardcoded | | T1566.001 | Spearphishing Attachment | Acesso Inicial | DMG com pretexto empresarial | | T1204.002 | Malicious File | Execução | Vítima abre DMG manualmente | | T1027 | Obfuscated Files | Evasão | Ofuscação de strings no binário Go | ## Relevância Brasil e LATAM O MetaStealer é relevante para o ambiente brasileiro porque: 1. **Macs corporativos crescendo**: Empresas de tecnologia, agências criativas, consultorias e startups no Brasil adotam macOS em escala crescente. A crença histórica de que "Macs são seguros" reduz a vigilância dos usuários 2. **Engenharia social B2B**: O pretexto de "cliente potencial" é especialmente eficaz no Brasil, onde reuniões de negócios por Telegram e WhatsApp são comuns. Executivos acostumados a receber PDFs e apresentações via mensagem são alvos naturais 3. **Keychain como jackpot**: Para profissionais que usam Mac como estação principal, o Keychain contém credenciais de VPNs corporativas, sistemas bancários, plataformas cloud (AWS, GCP) - um comprometimento do Keychain pode ser catastrófico ## Detecção e Defesa **Indicadores comportamentais:** - Processo Go executando no macOS acessando `~/Library/Keychains/` - Acesso ao diretório `~/Library/Application Support/Telegram Desktop/tdata/` por processo não-Telegram - Arquivo DMG montado executando binário que estabelece conexão TCP para porta 3000 - `xattr -d com.apple.quarantine` executado em arquivo DMG (bypassa Gatekeeper) **Mitigações prioritárias:** - Ativar e respeitar alertas do macOS Gatekeeper - DMGs não assinados devem ser tratados com suspeita máxima - Autenticação de aplicações antes de acesso ao Keychain (macOS solicita senha ao app ao acessar o Keychain) - EDR para macOS com detecção de acesso não autorizado ao Keychain (Crowdstrike Falcon, SentinelOne) - Treinamento de colaboradores que usam Mac: nunca abrir DMGs ou PKGs recebidos por email/Telegram sem verificação ## Referências - [1](https://www.sentinelone.com/blog/macos-metastealer-new-family-of-obfuscated-go-malware-targeting-businesses/) SentinelOne - macOS MetaStealer: New Family of Obfuscated Go Malware (2023) - [2](https://malpedia.caad.fkie.fraunhofer.de/details/osx.metastealer) Malpedia - MetaStealer (macOS) - [3](https://www.bleepingcomputer.com/news/security/new-metastealer-malware-targets-macos-businesses-steals-passwords/) BleepingComputer - MetaStealer Targets macOS Businesses (2023) - [4](https://attack.mitre.org/techniques/T1555/001/) MITRE ATT&CK - T1555.001 Keychain - [5](https://objective-see.org/blog.html) Objective-See - macOS Malware Annual Report (Patrick Wardle)