Como remover o SHub de sistemas macOS infetados

Que tipo de malware é o SHub?

O SHub é um programa de roubo de informações que tem como alvo os utilizadores do macOS. É capaz de extrair dados de navegadores da Web, carteiras de criptomoedas e outras aplicações. A sua distribuição envolve a utilização de um site falso e a técnica ClickFix. Se for detetado num dispositivo, o SHub deve ser eliminado o mais rapidamente possível.

Visão geral do SHub Stealer

Inicialmente, um carregador é executado no dispositivo da vítima. Este verifica o sistema antes de prosseguir. Uma das verificações procura um teclado russo. Se encontrar um, o malware pára e comunica isso ao atacante. Se a verificação for bem-sucedida, o carregador envia o endereço IP, o nome do anfitrião, a versão do macOS e o idioma do teclado aos cibercriminosos.

Além disso, é descarregado um script que se faz passar por um pedido normal de palavra-passe do macOS. Se a vítima introduzir a sua palavra-passe, o malware consegue desbloquear o Keychain, que armazena todas as palavras-passe guardadas, dados de início de sessão em redes Wi-Fi e chaves privadas.

Após o roubo da palavra-passe, o SHub analisa o sistema macOS infetado em busca de vários tipos de dados. Tem como alvo mais de 10 navegadores baseados no Chromium, incluindo o Arc, Brave, Chrome, Chrome Beta, Chrome Canary, Chrome DevTools, Chromium, Edge, Opera, Opera GX, Orion, Sidekick, Vivaldi e Coccoc. Também tem como alvo o Firefox, roubando palavras-passe guardadas, cookies e dados de preenchimento automático de todos os perfis.

Além disso, o SHub verifica todas as extensões instaladas no navegador. É capaz de roubar informações de mais de uma centena de carteiras de criptomoedas conhecidas, incluindo a Coinbase Wallet, a Exodus Web3, a Keplr, a MetaMask, a Phantom e a Trust Wallet.

O SHub também se destina a aplicações de carteiras de criptomoedas para computador. Recolhe dados de carteiras como a Atomic Wallet, Binance, Bitcoin Core, BlueWallet, Coinomi, Dogecoin Core, Electrum, Exodus, Guarda, Ledger Live, Ledger Wallet, Litecoin Core, Monero, Sparrow, TON Keeper, Trezor Suite, Wasabi e outras.

Além disso, o programa malicioso rouba dados do Keychain, dados da conta iCloud, cookies e histórico de navegação do Safari, bases de dados do Apple Notes e ficheiros de sessão do Telegram. Também copia os ficheiros «.zsh_history», «.bash_history» e «.gitconfig», que podem conter chaves API ou tokens de autenticação utilizados por programadores.

Outras funcionalidades

O SHub não só rouba dados, como também altera certas aplicações de carteiras de criptomoedas para poder continuar a roubar informações posteriormente. Se encontrar carteiras como a Atomic Wallet, Exodus, Ledger Live, Ledger Wallet ou Trezor Suite, substitui o ficheiro principal da aplicação («app.asar») por uma versão maliciosa. Este ficheiro é executado em segundo plano e mantém a aplicação a funcionar normalmente.

As aplicações modificadas enviam então dados confidenciais a agentes maliciosos, tais como palavras-passe de carteiras, frases-semente ou frases de recuperação. Algumas versões podem apresentar ecrãs falsos de recuperação ou de atualização de segurança para induzir os utilizadores a introduzir as suas frases-semente.

Além disso, o SHub instala uma porta traseira para manter o acesso ao dispositivo infetado. Cria uma tarefa em segundo plano denominada «com.google.keystone.agent.plist» para se fazer passar pelo serviço de atualização legítimo da Google. Sempre que é executada, inicia um script oculto que envia o ID de hardware único do Mac para o servidor e verifica se existem comandos.

Isto permite que os atacantes controlem remotamente o dispositivo até que a porta traseira seja detetada e removida. Para evitar suspeitas, o SHub exibe uma mensagem de erro falsa indicando que a aplicação não é suportada, levando a vítima a acreditar que a instalação falhou.

Conclusão

O SHub é um malware sofisticado para o macOS que proporciona aos atacantes acesso silencioso e de longa duração ao Mac da vítima e a informações valiosas. As vítimas destes ataques podem enfrentar problemas como roubo de identidade, perda de criptomoedas, apropriação indevida de contas e outras consequências negativas. Por isso, é importante ter cuidado para evitar a infeção.

Outros exemplos de malware que tem como alvo o macOS são o Phexia, o NovaStealer e o MacSync.

Como é que o SHub se infiltrou no meu dispositivo?

Os cibercriminosos utilizam um site falso do CleanMyMac para induzir os utilizadores a pensar que estão a descarregar a aplicação legítima. Em vez de descarregarem um instalador normal, o site instrui os visitantes a abrirem o Terminal e a colarem um comando como parte da «instalação». A técnica de distribuição utilizada nestes ataques denomina-se ClickFix.

Quando o utilizador executa o comando, este descarrega um script oculto e executa-o, o que leva à infiltração do SHub.

Como evitar malware?

Descarregue sempre as aplicações a partir de fontes oficiais ou de lojas de aplicações de confiança e evite software pirata, cracks ou ativadores não oficiais. Mantenha o seu sistema operativo e os seus programas atualizados e analise regularmente o seu dispositivo com software de segurança de confiança. Tenha cuidado com e-mails, mensagens ou anexos inesperados e só abra ficheiros ou clique em links quando tiver a certeza de que são seguros.

Ignore anúncios, janelas pop-up e links suspeitos em sites não confiáveis e nunca permita que enviem notificações. Se o seu computador já estiver infetado, recomendamos que execute uma verificação com Combo Cleaner Antivirus para Windows para eliminar automaticamente todas as ameaças.

O site falso (cleanmymacos[.]org) era utilizado para distribuir o SHub Stealer (fonte: malwarebytes.com):

Instruções do ClickFix utilizadas para propagar o SHub Stealer (fonte: malwarebytes.com):

Remoção automática instantânea do malware:

A remoção manual de ameaças pode ser um processo moroso e complicado que requer conhecimentos informáticos avançados. O Combo Cleaner é uma ferramenta profissional de remoção automática do malware que é recomendada para se livrar do malware. Descarregue-a clicando no botão abaixo:

Ao descarregar qualquer software listado no nosso website, concorda com a nossa Política de Privacidade e Termos de Uso. Para usar a versão completa do produto, precisa de comprar uma licença para Combo Cleaner. 7 dias limitados para teste grátis disponível. O Combo Cleaner pertence e é operado por RCS LT, a empresa-mãe de PCRisk.

Menu rápido:

• O que é o «SHub»?
• Remova os ficheiros e pastas relacionados com o SHub do OS X.

Vídeo que mostra como remover adware e sequestradores de navegador de um computador Mac:

Remoção de aplicações potencialmente indesejadas:

Remova as aplicações potencialmente indesejadas da pasta «Aplicações»:

Clique no ícone do Finder. Na janela do Finder, selecione "Aplicações". Na pasta de aplicações, procure por "MPlayerX", "NicePlayer" ou outras aplicações suspeitas e arraste-as para o Cesto. Depois de remover os aplicativos potencialmente indesejados que causam anúncios online, verifique o seu Mac para ver se há algum componente indesejado restante.

Perguntas frequentes (FAQ)

O meu computador está infetado com o malware SHub. Devo formatar o meu dispositivo de armazenamento para me livrar dele?

Este passo irá eliminar o SHub, mas também apagará todos os dados, pelo que só deve ser utilizado como último recurso. Antes de proceder, é aconselhável realizar uma verificação completa com um software de segurança fiável, como o Combo Cleaner.

Quais são os maiores problemas que o malware pode causar?

O malware pode permitir que os atacantes obtenham acesso remoto, roubem informações pessoais, instalem mais programas maliciosos, apaguem ou encriptem ficheiros, provoquem falhas no sistema, tornem o dispositivo mais lento e realizem outras atividades prejudiciais.

Qual é o objetivo do SHub?

O SHub é um malware que rouba palavras-passe, carteiras de criptomoedas e outros dados confidenciais do macOS. Tem como alvo os navegadores, o Keychain, carteiras de criptomoedas no ambiente de trabalho e no navegador, bem como ficheiros como o Apple Notes ou sessões do Telegram. O seu principal objetivo é recolher informações.

Como é que o SHub se infiltrou no meu dispositivo?

Os atacantes utilizam um site falso do CleanMyMac, que instrui os visitantes a abrirem o Terminal e a colarem um comando para «instalar» o software. Este método de distribuição é conhecido como ClickFix. Quando o utilizador executa o comando, este descarrega e executa silenciosamente um script oculto, permitindo que o SHub infecte o Mac.

O Combo Cleaner protege-me contra malware?

Sim, o Combo Cleaner consegue detetar e remover a maioria dos programas maliciosos conhecidos. No entanto, os programas maliciosos mais sofisticados costumam esconder-se nas profundezas do sistema, pelo que é importante executar uma verificação completa do sistema.