Mais de 250 endereços na internet estão sendo usados em uma campanha maliciosa voltada para computadores da Apple. A estratégia emprega técnicas avançadas para burlar ferramentas de segurança e ocultar os perigos de robôs de rastreamento, o que entrega infostealers capazes de roubar senhas, dados de navegadores e carteiras de criptomoedas. A descoberta foi detalhada em um relatório publicado pela Microsoft Security Research, que deu segmento a análises anteriores divulgadas pela equipe em maio.
A abordagem utiliza uma técnica conhecida como ClickFix. Nesta modalidade, a vítima é induzida a copiar um comando e colá-lo no Terminal, a ferramenta de execução de comandos do sistema. Antes de exibir qualquer armadilha, a página realiza uma leitura rápida do navegador e verifica detalhes como o tamanho da tela, fuso horário e características do hardware para confirmar se o visitante é um alvo legítimo.
“O script do portão lê valores de navegador, como a string da plataforma, que deve relatar o MacIntel em um Mac real, juntamente com dimensões de tela e janela e sinais gráficos WebGL que ajudam a separar hardware genuíno da Apple de uma máquina virtual ou um ambiente emulado”, explicou Srinivasan Govindarajan, pesquisador sênior de segurança da Microsoft, na análise técnica.
Ao identificar que se trata de um computador real da Apple nos padrões esperados, o sistema exibe uma página falsa de download com a identidade visual do GitHub e um selo de editor verificado falsificado. Caso o acesso venha de um investigador, de um robô de rastreamento ou de um sistema de segurança, o site mostra apenas uma página em branco ou um conteúdo inofensivo para evitar a detecção rápida.
“Uma resposta aparentemente benigna ou semelhante não significa que o domínio é seguro”, alertaram os pesquisadores da Microsoft Security Research. Os especialistas destacaram que o endereço pode apresentar resultados totalmente diferentes dependendo de quem faz a visita, pois “a decisão acontece no lado do servidor para cada solicitação, portanto, duas visitas ao mesmo endereço podem produzir páginas totalmente diferentes”.
Estratégia em evolução e iscas em blogs populares
Conforme pontuado por especialistas da empresa em um levantamento publicado em maio de 2026, os criminosos tentam tirar proveito de usuários que buscam orientações úteis sobre problemas no macOS em sites de blogs e plataformas de conteúdo. Essas pessoas buscam, por exemplo, informações como a otimização de espaço em disco.
Nessas ocasiões, as páginas falsas e publicações simulavam dicas de solução de problemas em plataformas como Medium, serviços de notas como Craft e sites independentes. “Essas postagens afirmam resolver problemas comuns do macOS”, detalhou a equipe. Os textos orientavam os usuários a colarem comandos no Terminal que acionam scripts remotos de malware.
Entre as ameaças distribuídas por essas redes estão infostealers conhecidos como Macsync, Shub Stealer e Atomic Stealer (Amos). Uma vez instalados, esses programas coletam arquivos de mídia, dados do iCloud, entradas do Keychain e chaves de carteiras de criptomoedas, além de substituírem aplicativos legítimos de carteiras digitais por versões adulteradas.
Entre os domínios mapeados na operação recente estão nomes que misturam termos comuns com palavras relacionadas a arquivos, como “filecopperbasket.sbs” e “applefilevault.com”. A empresa pontuou que “o padrão é apenas um lead de caça” e que o sinal mais forte combina nomes descartáveis, comportamento de infraestrutura compartilhado e o sistema de portão de impressão digital.
Uma vez que o usuário executa o comando solicitado no Terminal, o sistema baixa scripts adicionais e ativa os malwares. Sobre a atuação das ameaças, a Microsoft destacou que “o cluster mais amplo distribuiu MacSync e Atomic Stealer; a cadeia que analisou através do portão terminou no Amos”.
Para mitigar os riscos, os analistas da empresa detalharam que “os defensores devem monitorar a navegação seguida de atividade terminal incomum, especialmente comandos executados de forma direta, decodificação de dados e criação de arquivos seguidos de solicitações de rede de saída”.
Resposta da Apple e proteção do sistema
Diante do cenário, a Apple se manifestou sobre as defesas do sistema. A companhia destacou que a atualização macOS 26.4, lançada em 24 de março, implementou proteções detalhadas. Entre as barreiras, o Terminal exibe um aviso de confirmação para usuários que não o abrirem em mais de 30 dias, não possuírem ferramentas comuns de desenvolvedor e colarem textos vindos de navegadores ou aplicativos de mensagens.
Além destas melhorias, a Apple ressaltou as principais funções do XProtect: “rastrear comandos colados em qualquer emulador de terminal, inspecionar sua árvore de processo e artefatos de rede e bloquear a atividade associada a infostealers conhecidos”.
A recomendação principal para o público, reforçada tanto pelos analistas da Microsoft quanto pelos especialistas de segurança, continua sendo ignorar qualquer instrução em sites, chats ou páginas de download que exija colar textos dentro do Terminal do computador, ressaltando que “recusar esse passo é tão protetor quanto era antes”.
Por falar em falhas na segurança digital, um ataque ao npm afetou um ecossistema de código aberto e bilhões de instalações. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.
Fonte ==> TecMundo
