Infostealers em Python miram macOS com anúncios falsos, instaladores DMG e iscas ClickFix

Campanhas observadas desde o fim de 2025 usam engenharia social, execução sem arquivo, utilitários nativos do macOS e automação via AppleScript para roubar credenciais, dados de sessão, chaves do iCloud Keychain e segredos de desenvolvedores.

Componente	Ambientes Apple macOS expostos a infostealers distribuídos por instaladores DMG, incluindo AMOS, MacSync e DigitStealer.
Vetor	Malvertising, sites falsos de ferramentas como DynamicLake e ferramentas de IA, iscas ClickFix, phishing por e-mail e abuso de aplicativos de mensagem.
Impacto	Roubo de credenciais de navegador, dados de sessão, iCloud Keychain, segredos de desenvolvedores, informações financeiras e dados de contas de criptomoedas, conforme a campanha ou família envolvida.
Prioridade	Bloquear cadeias de instalação não confiáveis, monitorar atividade suspeita no Terminal, revisar acessos ao iCloud Keychain e inspecionar tráfego de saída com requisições POST para domínios novos ou suspeitos.
Artefatos	Instaladores DMG, automação por AppleScript, execução sem arquivo, utilitários nativos do macOS, persistência por chaves Run do registro e tarefas agendadas em campanhas relacionadas no Windows.
Infraestrutura	Canais do Telegram foram observados em comunicações de comando e controle e exfiltração em cadeias associadas ao PXA Stealer.

Resumo técnico

Campanhas recentes de roubo de informações indicam uma expansão acelerada do ecossistema de infostealers para além do Windows, com foco direto em ambientes Apple macOS. O eixo técnico dessas operações combina linguagens multiplataforma, como Python, com distribuição em larga escala por plataformas confiáveis ou aparentadas a serviços legítimos. Em vez de depender apenas de exploração de vulnerabilidade, os operadores usam engenharia social para convencer o usuário a iniciar a infecção, geralmente por meio de instaladores DMG que se apresentam como ferramentas procuradas, utilitários técnicos ou aplicações ligadas a inteligência artificial.

O conjunto observado inclui famílias como Atomic macOS Stealer, também chamado AMOS, MacSync e DigitStealer. Essas famílias foram associadas a cadeias que usam execução sem arquivo, utilitários nativos do macOS e automação por AppleScript para acessar dados sensíveis. O objetivo operacional é coletar credenciais de navegadores, dados de sessão, conteúdo relacionado ao iCloud Keychain e segredos mantidos por desenvolvedores. Esse perfil de coleta torna a campanha relevante não apenas para usuários finais, mas também para estáções usadas em engenharia, administração de nuvem, desenvolvimento de software e acesso a sistemas internos.

A atividade descrita não deve ser lida como uma simples migração de malware de Windows para macOS. O ponto central é a adaptação do fluxo de distribuição, execução e coleta a um ambiente onde usuários tendem a confiar em instaladores gráficos, prompts de terminal copiados de páginas falsas e permissões concedidas durante a instalação. A defesa precisa tratar o incidente como uma combinação de malvertising, phishing, execução local induzida e coleta de segredos, com controles que cubram navegador, endpoint, identidade, rede e estáções de desenvolvimento.

Fluxo técnico

O início mais comum da cadeia é um anúncio malicioso, frequentemente entregue por redes de publicidade, que intercepta pesquisas por ferramentas específicas. O contexto cita buscas por DynamicLake e ferramentas de IA como iscas usadas para direcionar vítimas a páginas falsas. Esses sites empregam lógicas no estilo ClickFix, nas quais a página induz o usuário a seguir uma instrução aparentemente corretiva ou necessária para concluir a instalação. O comando operacional é omitido, mas o efeito defensivamente relevante é que a própria vítima é convencida a acionar um fluxo de execução local que instala ou carrega o infostealer.

Após a interação inicial, os operadores distribuem instaladores DMG que implantam famílias de roubo de informações voltadas a macOS. A cadeia pode usar execução sem arquivo para reduzir artefatos persistentes em disco, utilitários nativos para parecer atividade administrativa legítima e AppleScript para automatizar interações, coleta e acesso a recursos do sistema. O uso desses mecanismos é importante para detecção porque desloca parte do comportamento malicioso para componentes que já existem no sistema operacional, aumentando a dependência de telemetria comportamental em vez de simples bloqueio por nome de arquivo.

O escopo de coleta inclui credenciais e dados de sessão de navegadores, informações armazenadas ou acessíveis via iCloud Keychain e segredos de desenvolvedores. Em uma estáção técnica, esses segredos podem incluir material usado para autenticação em repositórios, serviços de nuvem, ambientes de integração contínua ou plataformas internas, embora cada tipo específico precise ser confirmado por telemetria local. A consequência direta confirmada é o roubo de informações; impactos posteriores, como acesso não autorizado a sistemas internos, comprometimento de e-mail corporativo, incidentes de cadeia de suprimentos ou ransomware, são riscos decorrentes condicionados ao tipo de segredo obtido e ao privilégio associado.

O contexto também descreve campanhas relacionadas do PXA Stealer, associadas a atores de língua vietnamita, observadas em outubro e dezembro de 2025 com acesso inicial por e-mails de phishing. Essas cadeias tinham persistência por chaves Run do registro ou tarefas agendadas e usavam Telegram para comando e controle e exfiltração, elementos característicos de operação em Windows. Há ainda abuso de aplicativos populares de mensagem, como WhatsApp, para distribuir Eternidade Stealer e tentar acesso a contas financeiras e de criptomoedas. Esses casos ampliam o panorama: a técnica de roubo de informações não depende de uma única plataforma e tende a reutilizar canais nos quais o usuário já confia.

Superfície afetada

A superfície mais exposta em macOS envolve usuários que instalam software fora de canais verificados, seguem instruções de páginas abertas a partir de anúncios ou copiam ações sugeridas por sites que simulam correções técnicas. Estáções de desenvolvedores exigem atenção especial porque costumam concentrar sessões autenticadas, chaves de acesso, credenciais de navegador, artefatos de build e permissões para repositórios ou serviços de nuvem. A presença de AppleScript, Terminal e utilitários nativos no fluxo não significa atividade administrativa legítima por si só; a análise precisa correlacionar origem do navegador, horário, processo pai, volume montado e destino de rede.

Organizações com macOS gerenciado devem considerar que a exposição não está limitada ao endpoint. Dados de sessão roubados podem reduzir a efetividade de senhas fortes se não houver validação contextual, revogação de sessões e autenticação resistente a phishing. Contas financeiras, carteiras de criptomoedas, acesso a e-mail e credenciais de desenvolvimento aparecem como alvos citados no contexto, então a resposta deve priorizar ativos com privilégios reutilizáveis e capacidade de movimentar operações sensíveis.

• Usuários de macOS que chegaram a sites falsos por anúncios ao buscar DynamicLake ou ferramentas de IA.
• Estáções que montaram instaladores DMG não verificados antes de atividade anômala no Terminal ou AppleScript.
• Ambientes com credenciais de navegador, dados de sessão, iCloud Keychain e segredos de desenvolvedores acessíveis ao usuário.
• Contas atingidas por phishing por e-mail em campanhas do PXA Stealer observadas em outubro e dezembro de 2025.
• Usuários expostos a arquivos ou links distribuídos por aplicativos de mensagem, incluindo campanhas relacionadas ao Eternidade Stealer.

Hunting e telemetria

A busca deve começar pela reconstrução da sessão do usuário: pesquisa no navegador, clique em anúncio, redirecionamento, download do DMG, montagem de volume, execução de aplicativo e processos subsequentes. Em macOS, é importante correlacionar eventos de Terminal, AppleScript e utilitários nativos com a origem do arquivo baixado. Uma execução iniciada logo após visita a um domínio recém-criado, página que imita ferramenta legítima ou prompt de correção no estilo ClickFix deve ser tratada como sinal de alto risco, principalmente se houver tentativa de acessar chaveiros, perfis de navegador ou diretórios associados a credenciais.

Na rede, a telemetria deve procurar requisições POST para domínios novos, de baixa reputação ou incompatíveis com o software supostamente instalado. O contexto não fornece domínios específicos, portanto a investigação deve trabalhar com classes de indicador: destinos recém-registrados, baixa prevalência na organização, tráfego imediatamente posterior à instalação e volume pequeno de exfiltração para endpoints desconhecidos. Quando houver referência a Telegram em campanhas associadas, a defesa deve avaliar conexões inesperadas a infraestrutura da plataforma a partir de endpoints que não têm justificativa de negócio para esse uso.

Em campanhas Windows relacionadas, a caça deve incluir criação ou alteração de chaves Run, novas tarefas agendadas e processos que combinem persistência local com comunicação externa. Esses sinais não devem ser transplantados mecanicamente para macOS, mas ajudam a separar a atividade por plataforma durante a resposta. Para WhatsApp e outros mensageiros, os sinais relevantes são downloads recentes, execução de anexos ou instaladores recebidos por mensagem, autenticações anômalas em contas financeiras ou de criptomoedas e sequência temporal entre recebimento de arquivo, execução e alerta de credencial.

• Montagem de DMG seguida por execução de Terminal, AppleScript ou utilitários nativos fora do padrão do usuário.
• Acesso incomum ao iCloud Keychain, perfis de navegador ou armazenamentos de sessão após instalação de software não verificado.
• Requisições POST para domínios recém-criados, suspeitos ou sem histórico corporativo.
• Uso inesperado de Telegram para comunicação externa em endpoints corporativos.
• Criação de chaves Run ou tarefas agendadas em hosts Windows associados a campanhas de PXA Stealer.

Mitigação

A mitigação deve priorizar a quebra da cadeia de engenharia social. Controles de navegação e DNS precisam reduzir exposição a malvertising, domínios recém-criados e páginas que imitam ferramentas conhecidas. Usuários devem ser treinados especificamente contra instaladores falsos e fluxos ClickFix, com ênfase em não seguir instruções de páginas que pedem ações manuais no Terminal ou instalação fora dos canais aprovados. Em estáções macOS, políticas de execução, verificação de origem, gerenciamento de permissões e inventário de aplicativos instalados ajudam a limitar a instalação de DMG não confiável.

Quando houver suspeita de execução, a resposta deve tratar o endpoint como potencialmente coletado, não apenas infectado. Isso implica isolar o host quando necessário, preservar evidências de navegador e processos, identificar arquivos montados ou executados, revisar acessos ao Keychain e mapear quais credenciais estavam disponíveis ao usuário. Senhas, tokens de sessão e segredos de desenvolvedores potencialmente expostos devem ser revogados ou rotacionados conforme o escopo confirmado. A simples remoção do binário não resolve o risco se sessões e chaves já tiverem sido copiadas.

A validação pós-contenção precisa cobrir identidade e rede. Sessões ativas devem ser encerradas quando houver suspeita de roubo, contas críticas devem receber revisão de autenticações recentes e repositórios ou ambientes de CI/CD devem ser analisados para uso anômalo de credenciais. Em paralelo, a equipe deve ajustar detecções para eventos de Terminal incomuns, acesso ao iCloud Keychain, AppleScript acionado por aplicativos baixados, persistência Windows quando aplicável e tráfego de saída compatível com exfiltração. O objetivo é transformar a resposta em controle permanente contra novas variações da mesma cadeia.

• Bloquear ou alertar acessos a domínios recém-criados e páginas de instalação fora de canais aprovados.
• Revisar execuções de DMG, Terminal e AppleScript em hosts macOS com correlação por usuário, processo pai e origem do download.
• Revogar sessões e rotacionar credenciais, tokens e segredos de desenvolvedores potencialmente acessíveis no endpoint afetado.
• Aplicar políticas de instalação e execução que reduzam software não verificado em estáções macOS.
• Adicionar detecções para requisições POST anômalas, uso inesperado de Telegram e sinais de persistência em hosts Windows relacionados.