Os ataques contra usuários de macOS continuam evoluindo, e a mais recente campanha do golpe ClickFix mostra como os cibercriminosos estão combinando engenharia social, fingerprinting e evasão de detecção para aumentar suas taxas de sucesso. De acordo com uma análise da Microsoft Threat Intelligence, a operação utiliza mais de 250 domínios maliciosos e uma infraestrutura capaz de identificar visitantes antes mesmo de apresentar a carga maliciosa.
A principal novidade da campanha é o uso de impressão digital do navegador (browser fingerprinting) para diferenciar usuários reais de pesquisadores de segurança, robôs de indexação e ambientes virtuais. Somente quando o sistema identifica uma vítima em potencial é que a página exibe a isca responsável por levar à infecção do computador com o Atomic Stealer (AMOS), um dos infostealers mais ativos contra computadores da Apple.
O objetivo dos criminosos continua sendo convencer a vítima a executar manualmente comandos no Terminal do macOS. Em vez de explorar uma vulnerabilidade do sistema operacional, o ataque aposta na confiança do usuário para contornar diversas camadas de proteção nativas do macOS.
Como funciona o golpe ClickFix contra o macOS
A campanha identificada pela Microsoft apresenta uma evolução significativa em relação às versões anteriores do ClickFix.
Antes de exibir qualquer conteúdo suspeito, o site executa um pequeno script JavaScript, com aproximadamente 2,5 KB, responsável por analisar diversas características do navegador e do dispositivo utilizado pelo visitante.
Essas informações são enviadas ao servidor, que decide qual conteúdo será entregue.
Se o acesso vier de um pesquisador, de um ambiente automatizado ou de uma máquina virtual utilizada para análise de malware, o visitante recebe apenas uma página comum, sem qualquer atividade maliciosa.
Já usuários considerados vítimas em potencial passam a visualizar páginas cuidadosamente preparadas para iniciar o golpe.
Essa estratégia reduz significativamente as chances de a infraestrutura criminosa ser descoberta por ferramentas automáticas de segurança.
Como funciona o fingerprinting do navegador
O browser fingerprinting é uma técnica utilizada para criar uma espécie de identidade digital do navegador e do dispositivo.
Na campanha analisada pela Microsoft, o script verifica diversos elementos antes de liberar a página maliciosa.
Entre eles estão:
- WebGL, utilizado para identificar características da GPU e do hardware.
- Resolução e dimensões da tela, úteis para detectar ambientes virtuais.
- Presença das Ferramentas do Desenvolvedor (DevTools) abertas.
- Suporte a dispositivos de toque, ajudando a identificar o tipo de equipamento.
- Recursos multimídia disponíveis por meio do método canPlayType().
- Diversas outras informações capazes de identificar ambientes utilizados por pesquisadores.
Caso alguma dessas verificações indique um possível ambiente de análise, o servidor simplesmente deixa de entregar a carga maliciosa.
Na prática, isso dificulta investigações e aumenta o tempo necessário para que empresas de segurança descubram toda a infraestrutura utilizada pelos criminosos.
Como o golpe leva a vítima ao Terminal
Depois da etapa de fingerprinting, a campanha muda completamente de comportamento.
Usuários legítimos passam a visualizar páginas falsas que imitam serviços conhecidos, incluindo mensagens relacionadas ao GitHub, verificações de segurança ou avisos de “editor verificado”.
O objetivo é convencer a vítima de que existe um pequeno procedimento necessário para concluir uma autenticação ou resolver um suposto problema de acesso.
Nesse momento, a página orienta o usuário a copiar um comando e executá-lo manualmente no Terminal do macOS.
Essa é justamente a parte mais perigosa do ataque.
Ao executar o comando por iniciativa própria, a vítima acaba autorizando a instalação do malware sem perceber que está comprometendo o computador.
Os comandos normalmente aparecem ofuscados, dificultando a identificação de sua verdadeira finalidade.
Atomic Stealer: a carga maliciosa distribuída pelo ClickFix
Depois que o comando é executado, inicia-se a segunda fase da infecção.
Os scripts utilizam ferramentas nativas do sistema, principalmente o curl, para acessar servidores controlados pelos criminosos e baixar os componentes maliciosos.
Entre eles está o Atomic Stealer (AMOS), frequentemente acompanhado do MacSync, utilizado para ampliar a coleta de informações.
O Atomic Stealer é especializado no roubo de dados sensíveis armazenados no computador.
Entre as informações normalmente coletadas estão:
- Credenciais salvas em navegadores.
- Cookies de autenticação, permitindo o sequestro de sessões.
- Carteiras de criptomoedas.
- Dados de extensões relacionadas a ativos digitais.
- Informações pessoais armazenadas em navegadores.
- Arquivos considerados valiosos para os criminosos.
Como consequência, uma única infecção pode resultar em roubo de contas, perdas financeiras, invasão de serviços online e comprometimento de ambientes corporativos.
O crescimento do AMOS também está ligado ao modelo Malware as a Service (MaaS), que facilita sua utilização por diferentes grupos criminosos mediante pagamento.
Por que essa campanha representa uma evolução do ClickFix
A campanha demonstra que os operadores do ClickFix passaram a investir fortemente em mecanismos de evasão.
Em vez de distribuir malware indiscriminadamente, eles filtram cuidadosamente quem terá acesso à página maliciosa.
Essa abordagem oferece diversas vantagens para os criminosos.
Ela reduz denúncias, dificulta a coleta de amostras por empresas de segurança e prolonga a vida útil dos domínios utilizados na operação.
Além disso, ao depender principalmente da interação humana, o ataque consegue contornar muitas soluções tradicionais de segurança que focam apenas na detecção automática de arquivos maliciosos.
O resultado é uma campanha mais discreta, seletiva e eficiente.
Como proteger seu Mac contra o golpe ClickFix
Apesar da sofisticação da infraestrutura utilizada pelos criminosos, a principal etapa do ataque continua dependendo da participação da vítima.
Por isso, algumas medidas simples continuam sendo extremamente eficazes.
A principal delas é nunca executar comandos sugeridos por páginas da internet no Terminal, mesmo que o site afirme ser uma etapa de verificação, atualização ou autenticação.
Empresas legítimas não utilizam esse tipo de procedimento para validar usuários.
Também é importante manter o macOS sempre atualizado, permitindo que mecanismos como o XProtect e outras tecnologias de proteção da Apple recebam as assinaturas mais recentes contra ameaças conhecidas.
Outras recomendações importantes incluem:
- Verificar cuidadosamente o endereço dos sites acessados.
- Desconfiar de mensagens que solicitam ações incomuns no Terminal.
- Utilizar soluções confiáveis de proteção contra malware.
- Ativar autenticação em dois fatores sempre que disponível.
- Evitar armazenar credenciais importantes no navegador.
- Manter backups atualizados para reduzir impactos em caso de comprometimento.
Treinamentos de conscientização também continuam sendo uma das defesas mais importantes em ambientes corporativos, especialmente porque campanhas como essa exploram muito mais o comportamento humano do que vulnerabilidades técnicas.
Engenharia social continua sendo a maior arma dos criminosos
A nova campanha do ClickFix mostra como os ataques modernos estão se tornando cada vez mais inteligentes.
Ao combinar fingerprinting, infraestrutura distribuída, engenharia social e um malware especializado como o Atomic Stealer, os criminosos conseguem reduzir sua exposição e aumentar significativamente as chances de sucesso.
Mais do que explorar falhas no macOS, a campanha explora a confiança dos usuários e utiliza técnicas capazes de esconder o comportamento malicioso de pesquisadores e ferramentas automatizadas.
Para usuários domésticos e empresas, a principal lição é clara: qualquer site que peça para copiar e executar comandos no Terminal deve ser tratado com extrema desconfiança. Em um cenário no qual os ataques evoluem rapidamente, alguns segundos de cautela podem ser suficientes para evitar o roubo de credenciais, informações financeiras e dados corporativos.