Evolução do vetor de ataque: abuso de infraestrutura legítima
Cybercriminals estão explorando a confiança inerente aos resultados de pesquisa do Google para distribuir malware sofisticado. Uma nova campanha identificada pela Cato Networks utiliza páginas falsas hospedadas no Google Sites para enganar usuários que buscam por ferramentas de desenvolvimento, especificamente a OpenAI Codex. O ataque visa predominantemente usuários de macOS e emprega uma técnica conhecida como ClickFix, que transfere a etapa final de execução do payload para a própria vítima.
Diferente de ataques tradicionais que entregam arquivos executáveis maliciosos diretamente, esta campanha apresenta uma página convincente que instrui o usuário a copiar um comando, abrir o Terminal e colá-lo manualmente. Essa abordagem psicológica reduz a desconfiança, pois o usuário acredita estar seguindo instruções oficiais de instalação de software.
Linha do tempo da entrega do payload
O mecanismo de ataque é complexo e envolve várias etapas para evitar detecção por scanners automatizados e filtros de segurança básicos:
- Lure (Isca): O usuário clica em um anúncio patrocinado que leva a uma página do Google Sites disfarçada como portal de download.
- Iframe Malicioso: A página carrega um iframe controlado pelo atacante, mantendo a URL legítima do Google enquanto altera o conteúdo visual.
- Evasão de Dispositivo: O atacante detecta o sistema operacional. Se o usuário não estiver no macOS, recebe uma página benigna, frustrando scanners automáticos.
- Execução do Usuário: O usuário copia um comando Base64 codificado e o executa no Terminal.
- Cadeia de Entrega: O comando decodifica um script, que baixa um segundo script, que finalmente baixa o arquivo Mach-O (payload) para a pasta temporária /tmp/helper.
- Limpeza e Execução: O script remove atributos estendidos do arquivo (xattr -c), marca-o como executável e inicia o malware.
Esta cadeia de três etapas, combinada com a remoção de metadados de segurança, torna a detecção baseada apenas em assinatura extremamente difícil.
Conexão com o Atomic macOS Stealer (AMOS)
Os pesquisadores da Cato observaram uma forte sobreposição entre esta campanha e os métodos de entrega do Atomic macOS Stealer (AMOS). Ambos utilizam carregadores curl codificados, estágios ocultos em zsh e telemetria antes da recuperação do payload. O objetivo final é o mesmo: roubar credenciais, chaves criptográficas e dados sensíveis do ambiente macOS.
A flexibilidade dos operadores é notável. Eles já reutilizaram partes de sua infraestrutura e rotacionaram domínios, localizações de payload e marcas, incluindo landing pages temáticas relacionadas ao Claude Code. Isso indica uma operação organizada e resiliente, capaz de adaptar rapidamente suas táticas.
Indicadores de Comprometimento (IoCs) e Mitigação
As equipes de segurança devem focar no monitoramento comportamental, pois os indicadores estáticos (domínios) mudam frequentemente. Os sinais de alerta incluem:
- Comandos de shell que decodificam dados Base64.
- Pipes de curl para zsh.
- Criação de novos executáveis em /tmp/helper.
- Remoção de atributos estendidos (xattr -c).
- Solicitações de saída incomuns logo após atividades no Terminal.
Controles de rede devem bloquear os domínios de telemetria e entrega de payload listados nos relatórios de inteligência. Além disso, a educação do usuário é crucial: nunca colar comandos desconhecidos no Terminal, mesmo que pareçam legítimos.
Implicações para a Segurança Corporativa
Este ataque destaca a fragilidade da confiança em plataformas públicas e anúncios pagos. Para administradores de TI, a implementação de restrições de execução de scripts no Terminal e o uso de ferramentas EDR específicas para macOS são essenciais. A detecção deve combinar múltiplos sinais comportamentais, em vez de depender de uma única lista negra de domínios.