Ataque ClickFix distribui malware para macOS capaz de roubar

O que aconteceu?

A Huntress investigou uma infecção em um computador macOS iniciada por uma técnica de engenharia social conhecida como ClickFix.

Nesse tipo de ataque, a vítima acessa uma página que apresenta uma falsa verificação, normalmente semelhante a um CAPTCHA, e recebe instruções para copiar um comando e executá-lo manualmente no Terminal do computador.

No incidente analisado, a vítima havia seguido um link recebido por e-mail. Após acessar a página, foi orientada a copiar e colar um comando no Terminal do macOS. Esse comando iniciou a cadeia de infecção.

Em termos simples, o criminoso não explora inicialmente uma vulnerabilidade do macOS. Ele convence o próprio usuário a executar o comando responsável por iniciar o ataque.

Como o ataque funciona?

Após ser executado no Terminal, o comando baixa um script Bash responsável por coletar informações sobre o computador.

Entre os dados analisados estão:

arquitetura do processador;
informações de hardware;
usuário conectado;
características do sistema.

O script verifica principalmente se a máquina utiliza arquitetura ARM64, presente nos Macs com Apple Silicon, ou uma arquitetura x86_64 compatível com Macs Intel.

Depois disso, ele baixa uma versão do malware adequada ao processador encontrado.

O malware tenta esconder os rastros iniciais

O comando observado pela Huntress também possui instruções para apagar o arquivo temporário utilizado durante a primeira etapa, limpar a tela do Terminal e remover o comando do histórico.

Essas ações dificultam uma análise superficial da atividade realizada pela vítima.

O payload final é um executável nativo do macOS no formato Mach-O, desenvolvido na linguagem Go.

O que o malware consegue roubar?

Depois de instalado, o infostealer procura informações sensíveis armazenadas no computador.

Segundo a análise técnica da Huntress, os alvos incluem:

senhas armazenadas nos navegadores;
informações do Apple Keychain;
cookies;
credenciais armazenadas em cache;
arquivos que possam conter informações de autenticação.

O Apple Keychain é o sistema utilizado pelo macOS para armazenar senhas, certificados, chaves e outras informações de autenticação.

Para um usuário comum, o comprometimento dessas informações pode significar perda de acesso a contas.

Em um ambiente empresarial, o impacto pode ser maior caso o computador possua credenciais relacionadas a sistemas corporativos, serviços cloud ou plataformas administrativas.

Malware também possui função para roubar criptomoedas

Um dos recursos que mais chamou a atenção dos pesquisadores é uma função denominada DRAIN.

O código consegue identificar informações relacionadas a determinadas carteiras de criptomoedas e verificar se existe saldo disponível.

Quando determinadas condições são atendidas, o malware possui mecanismos para redirecionar parte ou todo o valor para carteiras controladas pelo atacante.

Criptomoedas identificadas na análise

Os pesquisadores encontraram rotinas relacionadas a diferentes redes, incluindo:

Bitcoin;
Litecoin;
Dogecoin;
Monero;
Ethereum;
XRP.

A Huntress também identificou uma variável chamada DRAIN_PCT, relacionada à porcentagem do saldo que poderia ser retirada.

Isso indica que o mecanismo não foi desenvolvido apenas para esvaziar uma carteira de uma única vez. O código permite trabalhar com percentuais do valor disponível.

Importante: não há evidência de movimentação nas carteiras públicas analisadas

Apesar da existência dessas funções dentro do malware, a Huntress informou que as carteiras visíveis publicamente e incorporadas às amostras analisadas não apresentavam registros de recebimento de valores no momento da pesquisa.

Portanto, a capacidade técnica de roubo foi confirmada no código, mas isso não significa que os pesquisadores tenham confirmado perdas financeiras através das carteiras analisadas.

Malware tenta obter a senha do macOS

Outro estágio utiliza o osascript, recurso legítimo do macOS que permite a scripts interagirem com elementos gráficos do sistema.

Os criminosos utilizam essa funcionalidade para apresentar uma janela aparentemente legítima solicitando a senha do usuário.

Segundo a análise, a mensagem é apresentada como se fosse necessária para solucionar um suposto erro do sistema.

Caso a vítima forneça a senha, o malware pode utilizá-la posteriormente para realizar operações que exigem privilégios adicionais.

Persistência no computador

Os pesquisadores também identificaram mecanismos que permitem que componentes maliciosos continuem executando mesmo depois da etapa inicial da infecção.

Entre os artefatos observados está a utilização de um LaunchAgent, mecanismo legítimo do macOS utilizado para iniciar aplicações ou processos automaticamente.

A campanha utiliza nomes e diretórios semelhantes aos encontrados em componentes legítimos da Apple, uma estratégia que pode fazer com que arquivos maliciosos pareçam menos suspeitos durante uma inspeção superficial.

Infraestrutura ligada à Aeza Group

A Huntress relacionou os servidores utilizados para hospedar os arquivos maliciosos e a infraestrutura de Command and Control ao espaço de endereçamento operado pela Aeza Group.

A Aeza é conhecida como provedora de infraestrutura do tipo bulletproof hosting, expressão utilizada para provedores que mantêm serviços mesmo diante de denúncias de abuso e que podem ser utilizados por grupos criminosos.

A empresa foi sancionada pelo governo dos Estados Unidos em 2025, com medidas posteriores envolvendo Reino Unido e Austrália.

É importante diferenciar infraestrutura de autoria: o fato de os servidores utilizados estarem associados à infraestrutura da Aeza não significa, por si só, que a Aeza seja o grupo responsável por desenvolver ou operar especificamente este malware.

Indicadores de comprometimento

A Huntress publicou indicadores relacionados à investigação.

Endereços IP

193.29.224[.]151

Hospedagem do loader inicial.

77.221.152[.]34

Hospedagem dos payloads.

138.124.118[.]69

Servidor utilizado para exfiltração de informações e Command and Control.

O servidor C2 também foi observado utilizando:

138.124.118[.]69:8133

Domínio

profitnow[.]io

Domínio relacionado à etapa ClickFix observada no incidente.

Arquivos e caminhos

Um dos caminhos utilizados pelo malware é:

$HOME/Library/Caches/com.apple.trustd/com.apple.verified

SHA-256 associado à amostra ARM64:

f0062f7e70e61493684a2f60748a475168e155bc2502163c844c42e87692abd0

Outra amostra x86_64 foi associada ao SHA-256:

619a99ba4ee9d7f33db8045c7e03c4265424977993fe8a53b0f45157c5abd3e5

O script Bash utilizado como profiler/loader foi associado ao SHA-256:

5bad988affc1094f12b8b8bed659ef55b20e2988eb25441e1c1b34dd03b3eb52

Como se proteger?

A principal defesa contra ataques ClickFix continua sendo a conscientização do usuário.

Uma página web legítima não deveria exigir que o usuário copie um comando desconhecido e execute manualmente no Terminal para concluir um CAPTCHA ou verificação de segurança.

Usuários devem considerar suspeitas instruções que solicitem abrir:

Terminal;
PowerShell;
Prompt de Comando;
janela Executar;
scripts ou comandos copiados de uma página web.

Caso um comando desse tipo já tenha sido executado, a Huntress recomenda comunicar imediatamente a equipe de TI e isolar o equipamento para investigação.

Empresas também podem combinar treinamento de segurança com controles de endpoint, filtragem DNS, monitoramento de processos e análise de conexões para domínios ou endereços associados a campanhas maliciosas.

Análise Técnica CyberX

O ponto mais perigoso não é uma falha no macOS

O aspecto mais relevante deste ataque é o fator humano.

A cadeia não depende inicialmente da exploração de uma vulnerabilidade sofisticada no sistema operacional.

O atacante cria uma situação em que a vítima acredita estar realizando uma ação legítima e executa voluntariamente o primeiro estágio do malware.

Isso permite contornar várias proteções tradicionais.

Uma solução de segurança pode bloquear um download automático, mas existe uma diferença importante quando o próprio usuário abre o Terminal, cola um comando e confirma sua execução.

ClickFix transforma o usuário em parte da cadeia de execução

De forma simplificada, o ataque funciona assim:

Página falsa → instrução ClickFix → Terminal → script Bash → identificação da arquitetura → malware Mach-O → roubo de credenciais e comunicação C2.

Essa cadeia demonstra por que campanhas ClickFix vêm recebendo atenção crescente das equipes de segurança.

Elas exploram uma ação considerada confiável pelo próprio sistema operacional: um comando iniciado diretamente pelo usuário.

Credenciais podem representar um risco maior que as criptomoedas

A capacidade de interferir em carteiras de criptomoedas é um elemento importante da campanha, mas, em um ambiente corporativo, o roubo de credenciais pode representar um risco ainda maior.

Um Mac utilizado por um desenvolvedor, administrador ou executivo pode possuir acesso a:

e-mail corporativo;
VPN;
GitHub ou GitLab;
infraestrutura cloud;
painéis administrativos;
gerenciadores de senhas;
certificados;
sistemas internos.

O comprometimento dessas credenciais pode permitir que um ataque inicialmente restrito a um computador evolua para outros sistemas da organização.

O que equipes de segurança devem observar

Além dos indicadores publicados pela Huntress, comportamentos também devem ser monitorados.

Entre eles:

usuários executando comandos extensos copiados de navegadores;
curl seguido pela execução de scripts Bash;
criação incomum de arquivos em Library/Caches;
processos utilizando osascript para solicitar credenciais;
criação inesperada de LaunchAgents;
conexões HTTP para portas não convencionais;
tentativa de limpeza do histórico do Terminal.

Um IOC pode mudar rapidamente. O comportamento do ataque tende a ser um indicador mais duradouro.

Recomendação CyberX

Empresas com ambientes macOS devem incluir ClickFix em programas de conscientização e em seus casos de uso de detecção.

A mensagem para o usuário precisa ser simples:

se uma página solicitar que você copie um comando e execute no Terminal para provar que é humano, não execute.

No nível técnico, equipes de segurança devem combinar EDR, telemetria de processos, monitoramento DNS e de rede, controle de privilégios e investigação de mecanismos de persistência do macOS.

Conclusão

A campanha analisada pela Huntress mostra uma evolução importante das técnicas de engenharia social contra usuários de macOS.

Em vez de depender exclusivamente de vulnerabilidades, os criminosos utilizam falsas verificações para convencer a vítima a iniciar a infecção.

Uma vez executado, o malware consegue coletar credenciais, acessar dados do Apple Keychain e possui código destinado a interferir em carteiras de diferentes criptomoedas.

Para organizações, o principal alerta é que a segurança do endpoint não depende apenas de patches e antivírus: comportamentos induzidos por engenharia social continuam capazes de abrir a porta para ataques avançados.

AVALIE ESTE CONTEÚDO

Esta análise foi útil?

Ainda não há avaliações.

Ataque ClickFix distribui malware para macOS capaz de roubar senhas e criptomoedas

Como o ataque funciona?

O malware tenta esconder os rastros iniciais

O que o malware consegue roubar?