Uma campanha de engenharia social está distribuindo ladrões de dados para usuários de macOS por meio de páginas falsas que pedem a execução de comandos no Terminal. O grupo passou a esconder a isca atrás de uma barreira de identificação do navegador, o que reduz a visibilidade para rastreadores, sandboxes e análises automatizadas. A prioridade para as equipes é bloquear os domínios associados, impedir a execução de comandos copiados de páginas e investigar imediatamente qualquer Mac em que um usuário tenha seguido uma falsa verificação ou atualização.

A mudança na campanha

O caso foi descrito pela Microsoft Threat Intelligence em 5 de agosto de 2026. A operação usa domínios com aparência de serviços de arquivos, downloads ou utilitários. A página tenta convencer a vítima de que existe uma etapa técnica pendente: confirmar que ela é humana, concluir um download ou corrigir um erro do navegador. Em vez de entregar um aplicativo para instalação, a página orienta o usuário a copiar uma linha de comando e colá-la no Terminal.

Esse mecanismo é conhecido como ClickFix. O abuso não depende de uma falha inédita no sistema operacional. Ele explora a confiança do usuário em uma instrução visual e transforma uma ação aparentemente rotineira em execução de código com as permissões da conta. A etapa decisiva, portanto, não é apenas a detecção do arquivo final: é impedir a passagem da página para o shell.

A operação mudou de uma entrega aberta para uma entrega condicionada. Segundo a análise da Microsoft, a infraestrutura observada reúne mais de 250 domínios de fachada e passou a usar fingerprinting no servidor. Visitantes que não parecem usar um Mac real podem receber uma página vazia ou um conteúdo inofensivo. Um navegador macOS considerado compatível recebe a isca com o comando malicioso.

Por que o filtro importa

O bloqueio baseado apenas em reputação de URL fica mais fraco quando o mesmo endereço responde de formas diferentes. Um rastreador pode registrar uma página aparentemente limpa, enquanto um funcionário acessa a etapa maliciosa no mesmo domínio. A ausência de conteúdo suspeito em uma captura isolada não deve ser tratada como prova de que o endereço é confiável.

A barreira observa atributos do navegador, da tela e do ambiente de execução. Entre os sinais descritos pela Microsoft estão plataforma declarada, agente do usuário, idioma, fornecedor do navegador, plugins, dimensões da tela, profundidade de cor, tamanho da janela e proporção de pixels. A aplicação combina esses dados e decide qual conteúdo devolver. Para a defesa, isso significa que a análise precisa comparar respostas obtidas com perfis distintos, sem executar o comando da página.

A técnica também cria um problema de triagem. Um domínio pode parecer estacionado quando consultado por uma ferramenta de segurança, mas ainda ser relevante para usuários finais. Equipes devem preservar o endereço completo, horários, resolvedores DNS, cadeia de redirecionamento, cabeçalhos e respostas recebidas. Consultas repetidas podem produzir resultados diferentes; por isso, o registro da coleta é parte da evidência.

O que é entregue

O objetivo final é instalar infostealers, incluindo MacSync e Atomic Stealer, também conhecido como AMOS. A pesquisa da Microsoft descreve uma sequência que começa em uma página falsa, passa por uma instrução de copiar e colar no Terminal e termina com conteúdo remoto baixado para o computador. O malware pode buscar credenciais armazenadas em navegadores, tokens de sessão, dados de carteiras digitais e arquivos de interesse, dependendo da variante e das permissões disponíveis.

Uma investigação independente da Jamf Threat Labs também documentou uma cadeia recente de distribuição de infostealer para macOS associada a iscas ClickFix. As duas pesquisas não devem ser fundidas em uma única atribuição: elas sustentam a conclusão operacional de que a técnica continua sendo usada para levar vítimas a executar comandos e instalar ladrões de dados, mas não provam que toda página ou domínio pertence ao mesmo operador.

O risco mais imediato é a perda de credenciais que permite assumir outras contas. Uma sessão roubada pode ser usada antes que a vítima perceba a instalação. Se a estação for usada para administrar nuvem, código, identidade ou pagamentos, o impacto pode sair rapidamente do computador local. A contenção precisa considerar as contas acessadas no Mac, e não somente o processo que apareceu no endpoint.

Procedimento de contenção

Prioridade Ação Objetivo
P1 Isolar o Mac da rede e preservar artefatos de navegador, histórico, DNS, processos e arquivos recentes. Interromper comunicação e manter evidência.
P1 Revogar sessões, tokens e credenciais usados no equipamento; iniciar pelas contas administrativas e financeiras. Reduzir o risco de tomada de conta.
P1 Bloquear domínios, resoluções e indicadores confirmados no DNS, proxy, EDR e firewall. Evitar novas entregas e conexões.
P2 Pesquisar comandos shell copiados de navegadores, conexões para domínios recém-criados e arquivos baixados em diretórios temporários. Encontrar outros casos.
P2 Orientar usuários a denunciar páginas que pedem colagem no Terminal e revisar controles de execução. Reduzir recorrência.

Sinais para procurar

No endpoint, procure processos de shell iniciados por um navegador, comandos que usam ferramentas de transferência para buscar conteúdo remoto, arquivos comprimidos ou scripts criados logo depois de uma visita a página de download e alterações recentes em itens de inicialização. O contexto temporal é essencial: um comando legítimo de manutenção pode usar ferramentas semelhantes, mas uma sequência iniciada por Safari, Chrome ou Firefox após uma falsa verificação merece prioridade.

Na identidade, liste sessões abertas e tokens emitidos durante a janela de exposição. Compare endereços de origem, agentes de usuário e horários com o padrão do funcionário. Revogue primeiro as sessões ativas; depois redefina senhas e substitua chaves que possam ter sido acessadas. Não trate a autenticação multifator como resposta suficiente quando o ladrão de dados pode capturar cookies ou tokens já válidos.

No controle de navegação, procure domínios com nomes genéricos combinados a caminhos de download, redirecionamentos condicionais e respostas divergentes conforme sistema operacional ou navegador. A lista de domínios da Microsoft pode apoiar a caça inicial, mas não deve ser copiada sem validação para uma regra permanente. O padrão muda, e bloqueios baseados apenas em palavras do nome podem gerar falsos positivos.

Decisão para a equipe

O controle mais eficaz é retirar do usuário a decisão de colar comandos recebidos de uma página. Treinamento deve usar a instrução concreta: uma página de CAPTCHA, atualização ou download nunca precisa que a pessoa abra o Terminal e execute texto fornecido pelo site. Controles técnicos devem complementar essa regra com filtragem DNS, proteção de navegador, telemetria de processos e alertas para shell iniciado por aplicações de navegação.

Se houver confirmação de execução, a opção segura é tratar o Mac como potencialmente comprometido, mesmo que o antivírus não encontre um arquivo persistente. A coleta deve ser feita antes da limpeza quando a investigação exigir evidência; em seguida, a equipe pode reinstalar o sistema a partir de uma fonte confiável ou aplicar o procedimento corporativo de recuperação. Credenciais e sessões devem ser rotacionadas em paralelo, porque a remoção do malware não desfaz o roubo anterior.

A campanha mostra que a aparência de uma página limpa não é um veredito de segurança. O indicador relevante é a combinação entre isca de engenharia social, pedido de execução no Terminal, resposta condicionada ao ambiente e tentativa de baixar um ladrão de dados. Essa combinação deve gerar bloqueio, caça retroativa e revisão do processo de revogação de sessões.

Fontes

Microsoft Threat Intelligence: campanha ClickFix para macOS.

Jamf Threat Labs: AmnesiaStealer e distribuição por ClickFix.

Para contexto operacional sobre investigação e contenção, consulte também o plano de resposta a incidentes e o guia de logs de segurança e detecção.