A cadeia depende de engenharia social para induzir usuários de macOS a executar comandos no Terminal e baixar payloads AppleScript capazes de coletar credenciais, arquivos, bancos do Keychain e frases-semente de carteiras de criptomoedas.
| Componente | Usuários de macOS expostos a campanhas ClickFix/InstallFix que simulam instalação de ferramentas de IA e entregam o infostealer MacSync por payload AppleScript. |
| Vetor | Páginas fraudulentas, anúncios maliciosos em mecanismos de busca e sites comprometidos induzem a cópia e execução manual de comandos no Terminal; a cadeia contata servidor codificado e recupera o payload. |
| Impacto | Coleta e exfiltração de credenciais, arquivos, bancos do Keychain e frases-semente de carteiras de criptomoedas em hosts comprometidos. |
| Prioridade | Bloquear a execução de comandos copiados de páginas não verificadas, revisar telemetria de Terminal e AppleScript, conter hosts que contataram servidores suspeitos e reforçar validação de instaladores de ferramentas de IA. |
| Artefatos | MacSync, AppleScript, Terminal do macOS, páginas ClickFix/InstallFix, anúncios maliciosos, páginas falsas de instalação de ferramentas como Claude Code e iscas associadas a conversas de ChatGPT. |
| IoCs | Infraestrutura descrita por classes: servidores codificados em scripts, páginas em plataformas legítimas como pages[.]dev, sites WordPress comprometidos e páginas falsas de CAPTCHA, erro de navegador ou atualização. |
Três campanhas ClickFix foram observadas usando engenharia social como mecanismo de entrega para o infostealer MacSync em macOS. A técnica não depende de exploração direta de uma vulnerabilidade do sistema operacional ou de um navegador; o ponto central é convencer o usuário a copiar e executar comandos apresentados como parte de uma instalação, correção de erro, verificação ou atualização. No caso de falsos instaladores de ferramentas de IA, a cadeia se aproveita da normalidade de fluxos de instalação por Terminal no ambiente de desenvolvimento, especialmente entre usuários que instalam ferramentas de linha de comando com frequência.
Depois da execução manual do comando, um script shell entra em contato com um servidor codificado e recupera um payload AppleScript associado ao MacSync. O fluxo também tenta reduzir evidências da atividade de roubo de dados. O malware tem capacidade de coletar credenciais, arquivos, bancos do Keychain e frases-semente de carteiras de criptomoedas, o que torna a infecção relevante para estáções usadas por desenvolvedores, operadores de cloud, administradores e usuários com acesso a chaves SSH, tokens de serviços e carteiras digitais.
A cadeia ClickFix/InstallFix começa com uma página que cria um pretexto para execução local: instalação de uma ferramenta legítima, correção de falha visual do navegador, verificação falsa de CAPTCHA, atualização falsa ou instrução apresentada em contexto de ferramenta de IA. O usuário é levado a copiar um comando e executá-lo no Terminal do macOS. O comando operacional não é necessário para a defesa e deve ser tratado como artefato malicioso; o efeito relevante é a obtenção de um script que busca o payload AppleScript do MacSync em infraestrutura controlada pelo operador.
A variante mais recente de MacSync descrita nas campanhas de fevereiro de 2026 adiciona suporte a payloads AppleScript dinâmicos e execução em memória. Essa mudança dificulta análise estática, reduz a dependência de arquivos claramente identificáveis no disco e pode complicar a resposta a incidente quando a coleta de evidências ocorre após o encerramento do processo. A adaptação sugere manutenção ativa da cadeia para contornar controles do sistema operacional e de softwares de segurança, embora a atribuição a um único ator não esteja confirmada.
A mesma classe de tática aparece em outros fluxos recentes. Páginas em plataformas legítimas, sites comprometidos e anúncios maliciosos têm sido usados para imitar instruções de instalação de ferramentas de desenvolvimento, incluindo ferramentas de IA e ambientes de codificação assistida. Em Windows, cadeias similares foram associadas a loaders em memória e infostealers como Alien; em macOS, foram observadas entregas de MacSync, Atomic Stealer e SHub Stealer em cenários relacionados a instaladores falsos, páginas de CAPTCHA e páginas que simulam utilitários populares.
A exposição principal recai sobre usuários de macOS que confiam em páginas de instalação encontradas por busca, publicidade ou links de phishing e que aceitam executar comandos de Terminal sem validar a origem. O risco é maior em perfis técnicos porque a instalação de ferramentas por linha de comando é comum em ecossistemas de desenvolvimento. A presença de chaves SSH, tokens de cloud, credenciais salvas, arquivos de projeto e carteiras de criptomoedas aumenta o valor operacional da máquina comprometida.
Entre fevereiro e março de 2026, pelo menos 20 campanhas distintas foram descritas como direcionadas a ferramentas de IA e de codificação assistida. O conjunto inclui editores de código, agentes de IA, plataformas de modelos de linguagem, extensões de navegador com IA, geradores de vídeo e ferramentas corporativas. Nove campanhas afetaram Windows e macOS, enquanto sete foram direcionadas exclusivamente a usuários de macOS. Esse recorte mostra que o tema de IA não é apenas isca visual, mas um caminho de acesso a usuários com credenciais de alto valor.
A superfície também inclui sites WordPress comprometidos usados para hospedar implantes ClickFix que imitam verificações humanas de Cloudflare. Mais de 250 sites infectados foram identificados em pelo menos 12 países, incluindo Brasil, Estados Unidos, Reino Unido, Canadá, Alemanha, Índia e Austrália. Esses sites incluem veículos regionais e empresas locais, o que amplia o risco para usuários que normalmente confiariam no domínio visitado.
- Estáções macOS usadas por desenvolvedores, operadores de cloud e usuários com carteiras de criptomoedas.
- Usuários que chegam a páginas falsas por anúncios maliciosos, links de phishing ou sites legítimos comprometidos.
- Sites WordPress com plugins, temas, contas administrativas ou interfaces de administração expostas que possam permitir injeção de conteúdo malicioso.
- Ambientes Windows afetados por cadeias ClickFix paralelas com StealC, Vidar aprimorado, Impure Stealer, VodkaStealer, Alien, Remcos RAT, ModeloRAT e CastleRAT.
A investigação em macOS deve começar por eventos de execução do Terminal, shell e AppleScript próximos a navegação em páginas de instalação, CAPTCHA, erro de navegador ou atualização. A defesa deve correlacionar processos iniciados pelo usuário com conexões de saída para servidores incomuns, criação ou remoção rápida de arquivos temporários, acesso a diretórios de credenciais, leitura de bancos do Keychain e interação com diretórios de carteiras de criptomoedas. A ausência de um exploit não reduz a gravidade, pois a autorização inicial é obtida por manipulação do usuário.
Em redes corporativas, é importante procurar padrões de instalação iniciados fora dos canais aprovados. O tráfego para domínios recém-observados, páginas hospedadas em plataformas legítimas e URLs associadas a anúncios de busca deve ser avaliado junto com o processo que originou a conexão. Quando o script usa servidor codificado, a telemetria de DNS, proxy e EDR pode revelar o primeiro ponto externo consultado antes do payload AppleScript. Em hosts comprometidos, a coleta deve preservar histórico de shell quando disponível, eventos de execução, artefatos temporários, logs de navegador e registros do EDR antes de ações de limpeza.
Para sites WordPress administrados pela organização, a detecção precisa cobrir alterações inesperadas em temas, plugins, arquivos JavaScript e contas administrativas. A injeção de scripts que exibem CAPTCHA falso ou instruções de execução deve ser tratada como comprometimento do site, não apenas como conteúdo suspeito. Como a técnica também foi vista usando registros DNS TXT para preparar comandos em cadeias Windows, consultas DNS incomuns feitas por scripts ou processos de automação merecem análise.
- Execução de Terminal ou AppleScript logo após visita a páginas de instalação de ferramentas de IA, páginas de CAPTCHA ou mensagens de erro falsas.
- Conexões de saída para servidores não reconhecidos imediatamente antes da criação, execução ou remoção de scripts temporários.
- Acesso anômalo a Keychain, diretórios de carteiras de criptomoedas, arquivos de credenciais, chaves SSH e tokens de cloud.
- Histórico de navegação com anúncios de busca, domínios em plataformas legítimas abusadas e páginas de instalação não oficiais.
- Em WordPress, alterações recentes em JavaScript, novos administradores, plugins ou temas desatualizados e interfaces wp-admin expostas.
A resposta deve priorizar contenção de hosts que executaram comandos copiados de páginas não verificadas. Em macOS, isole a estáção, preserve artefatos voláteis e colete logs de processo, rede, navegador e shell antes da erradicação. Como o MacSync visa credenciais e frases-semente, a remediação não deve terminar na remoção do payload: é necessário rotacionar senhas, chaves SSH, tokens de cloud e credenciais de repositórios acessadas a partir do host. Carteiras de criptomoedas devem ser tratadas com risco elevado se houver evidência de acesso aos diretórios ou bancos relacionados.
Controles preventivos devem reduzir a confiança em instruções de instalação obtidas por busca. Organizações com equipes de engenharia podem manter documentação interna de instalação, bloquear ou alertar comandos originados de navegadores para Terminal, exigir distribuição de ferramentas por gerenciadores aprovados e inspecionar scripts de instalação antes da execução. Em endpoints, políticas de EDR devem alertar para AppleScript iniciado por shells, conexões externas seguidas de execução em memória e acesso incomum a armazenamentos de credenciais.
Administradores de sites WordPress precisam manter núcleo, plugins e temas atualizados, aplicar senhas fortes, ativar autenticação multifator e revisar contas administrativas. Também é necessário verificar arquivos modificados recentemente, scripts injetados e páginas que apresentem falsos desafios de verificação. Para usuários finais e equipes internas, a orientação defensiva deve ser objetiva: instaladores de ferramentas de IA e desenvolvimento precisam ser obtidos de canais oficiais, e qualquer instrução que peça cópia de comando para Terminal deve ser considerada de alto risco até validação independente.
- Isolar hosts macOS suspeitos e coletar telemetria de processo, rede, navegador, shell e AppleScript antes da limpeza.
- Rotacionar credenciais, chaves SSH, tokens de cloud, senhas de repositórios e segredos expostos no host comprometido.
- Revisar acesso a Keychain, diretórios de carteiras e arquivos sensíveis para estimar o escopo de exfiltração.
- Bloquear instalação de ferramentas por páginas não verificadas e manter uma lista interna de fontes aprovadas para ferramentas de IA e desenvolvimento.
- Atualizar WordPress, plugins e temas; ativar autenticação multifator; remover administradores suspeitos e procurar JavaScript injetado.
0 Comentários