Campanha ClickFix e Engenharia Social Avançada
Usuários de macOS estão sendo alvo de uma campanha sofisticada de engenharia social conhecida como ClickFix, que transforma verificações de CAPTCHA rotineiras em vetores para instalação de backdoors. A técnica persuade visitantes a executarem comandos do atacante diretamente no Terminal do sistema, em vez de baixar um aplicativo malicioso tradicional. A página de verificação falsa é estilizada como uma verificação humana chamada TrustKey, exibindo uma caixa "Eu não sou um robô" que, ao ser selecionada, copia silenciosamente um comando malicioso.
Este método evita os sinais de alerta associados ao download de arquivos e burla as verificações normais do Gatekeeper do macOS. Ao instruir a vítima a abrir o Spotlight, lançar o Terminal, colar o suposto token e pressionar Return, os criminosos conseguem executar código arbitrário com privilégios do usuário sem disparar alertas de segurança convencionais. A investigação da NetbyteSEC revelou que o comando colado busca código de um Cloudflare Worker e o executa via utilitário AppleScript do macOS.
Técnica EtherHiding e Persistência
O mecanismo de infecção utiliza uma técnica chamada EtherHiding, que deixa nenhum domínio de controle fixo na amostra inicial para que defensores possam bloquear. O primeiro comando entra em contato com um Cloudflare Worker, que retorna um payload codificado em AppleScript. Esse script escreve um LaunchAgent para que o malware possa reiniciar quando o usuário fizer login, consultando simultaneamente um contrato inteligente Polygon para descobrir onde seu servidor de comando está localizado.
Essa abordagem permite que o operador mude o endereço do servidor on-chain, tornando a infraestrutura móvel e difícil de rastrear. O loader solicita o endereço do servidor atual e então contata esse endereço para a próxima etapa. A infecção implanta um backdoor que identifica o dispositivo e o usuário, verifica com o servidor e solicita novas tarefas a cada minuto, mantendo uma conexão persistente e dinâmica.
Roubo de Credenciais e Mineração de Criptomoedas
O impacto desta campanha é mais amplo do que um simples login roubado. O agente persistente busca a senha de login do Mac através de um diálogo do sistema falso, coletando dados de navegador e carteira, e pode implantar XMRig para consumir o poder de processamento da vítima. A combinação de roubo e mineração de criptomoedas demonstra o perigo por trás dos esquemas de carregadores de malware de CAPTCHA falso.
O backdoor pode solicitar módulos completos ou leves do Atomic macOS Stealer (AMOS), buscando perfis de navegador para senhas salvas, cookies, histórico, extensões de carteira e chaves de criptografia. Ele também visa a keychain de login do macOS, dados do Telegram, Apple Notes, informações do Safari e arquivos em pastas pessoais comuns. O malware empacota o material coletado em um arquivo e o envia para infraestrutura controlada pelos atacantes.
Indicadores de Comprometimento (IoCs)
Para detectar e remediar esta ameaça, profissionais de segurança devem monitorar os seguintes indicadores de comprometimento identificados pela análise forense:
- URLs Maliciosas: trustkey-otcheckv1.pages.dev, workers.dev relacionados ao adrianroy-01, surf/upload.php.
- Domínios de Comando e Controle: hf98x4d.site, xuiaxwx.com, gesck4m.pro, sj98xe4.xyz.
- Contratos Blockchain: Contrato Polygon EtherHiding (0xA3a603F8a454a9c905b4c579Bb72628F7C15C2A0).
- Hashes SHA-256: Payloads stage-two, instaladores plist, loaders e agentes backdoor persistentes.
Medidas de Mitigação e Remediação
Os usuários devem tratar qualquer CAPTCHA que solicite abrir o Terminal, Run ou outra ferramenta de comando como malicioso. Um teste de verificação genuíno não precisa de atalhos de teclado para colar tokens ou executar comandos. Fechar a página é a resposta mais segura. Organizações devem caçar atividade de AppleScript lançada pelo Terminal, LaunchAgents inesperados, solicitações RPC do Polygon e prompts falsos de senha ou keychain.
Indivíduos que seguiram as instruções devem desconectar o Mac das redes o mais rápido possível, alterar senhas de um dispositivo limpo e ter o sistema examinado profissionalmente. Remover apenas o minerador não é suficiente porque o agente persistente pode baixá-lo novamente. A remoção do LaunchAgent e do agente backdoor é essencial antes de restaurar o uso normal do sistema.
Conclusão sobre Ameaças Emergentes
Este incidente sublinha a evolução constante das táticas de phishing e engenharia social, adaptando-se para explorar a confiança do usuário em verificações de segurança familiares. A imersão de técnicas de blockchain na infraestrutura de comando e controle adiciona uma camada de complexidade para a defesa. A conscientização do usuário final e a vigilância proativa das equipes de SOC são fundamentais para neutralizar essas campanhas que buscam burlar controles de segurança tradicionais.