Novo backdoor para macOS da Coreia do Norte embute mensagens de erro falsas para enganar AI Security Tools

Pesquisadores de segurança da SentinelOne descobriram um novo backdoor para macOS, batizado de Gaslight, que utiliza uma técnica inédita na natureza: incorporar payloads de prompt injection diretamente no binário do malware para confundir ferramentas de análise de segurança baseadas em IA, conforme reportado pelo BleepingComputer. O implante foi atribuído com alta confiança a atores de ameaças norte-coreanos, vinculado através da tag da Apple XProtect sob MACOS_BONZAI_COBUCH — uma família associada a operações alinhadas com a Coreia do Norte (DPRK).

O payload de prompt injection tem 3,5 KB de mensagens falsas de "system" embutidas no binário — 38 avisos simulando alertas de expiração de token, sinais de kill de memória, falhas no Redis, alertas de espaço em disco e erros de build. Eles são formatados em Markdown, delimitados com tokens {{DATA}} que imitam a estrutura de scaffolding de prompts de LLM. O objetivo é fazer com que um agente de triagem assistido por IA acredite que sua sessão está corrompida e aborte a análise antes de chegar ao código malicioso.

Por que essa técnica é importante

Os centros de operações de segurança (SOCs) estão cada vez mais usando agentes de IA para triar alertas, resumir binários e sinalizar comportamentos suspeitos — ferramentas que tornam os analistas mais rápidos, mas introduzem uma nova superfície de ataque. O Gaslight é o primeiro caso documentado publicamente de um ator de ameaças que construiu especificamente uma evasão para essa camada. Alguém do lado do Lazarus na operação da Coreia do Norte dedicou esforço deliberado para criar 38 mensagens de erro falsas — não para enganar um sandbox, mas para enganar a IA que está lendo a saída do sandbox.

As implicações vão além dessa amostra específica. Se o prompt injection pode fazer um agente de triagem de IA abortar a análise de um binário malicioso, os defensores precisam fortalecer seus pipelines de IA da mesma forma que fortalecem seus sandboxes — com testes adversarial, validação de saída e verificações human-in-the-loop para veredictos de alta confiança.

Conjunto completo de capacidades

Além da camada de evasão de IA, o Gaslight é um backdoor completo construído em Rust. Ele se comunica via Bot API do Telegram usando um loop de polling para comandos do operador, com criptografia AES-GCM e nonces frescos por mensagem. Ele fixa certificados TLS em âncoras de confiança personalizadas, derrotando a inspeção padrão de proxy, e respeita as configurações de proxy corporativo para travessia de rede.

O implante implanta um interpretador Python 3.10.18 em estágios que executa um script de coleta de informações codificado em Base64 de 6,6 KB, visando: dados dos navegadores Chrome, Brave, Firefox e Safari; históricos de comandos do Terminal; snapshots de processos em execução; inventários de aplicativos; perfis de hardware e software do sistema; e cópias brutas do banco de dados login.keychain-db do macOS. O operador interage por meio de um shell interativo com comandos para upload de arquivos, encerramento de processos e limpeza do implante.

Persistência e segurança operacional

O Gaslight estabelece persistência por meio de um LaunchAgent com o rótulo com.apple.system.services.activity — deliberadamente personificando o namespace da Apple, uma tática documentada de campanhas anteriores norte-coreanas no macOS. A autorredação do token do bot do Telegram da saída em tempo de execução significa que capturar logs de processo ou artefatos de crash não fornece dados úteis da infraestrutura C2 para os defensores.

A SentinelOne não divulgou como o Gaslight é distribuído ou quais setores estão sendo mirados, mas a combinação de acesso ao Keychain, roubo de credenciais de navegador e acesso a shell o posiciona como uma ferramenta de ciberespionagem, e não como um precursor de ransomware.