Usuários do macOS que buscam ajuda para instalar o modelo de linguagem Claude foram levados a uma armadilha digital perigosa. Uma campanha maliciosa explorou resultados pagos de pesquisa e um guia falso em uma página legítima de compartilhamento do Claude para persuadir vítimas a colar um comando no Terminal. Essa ação iniciou o malware MacSync, um stalker de informações focado em credenciais e ativos digitais.
A campanha demonstra como as pesquisas de software podem se tornar um ponto de entrada para o roubo de contas. Em vez de explorar uma falha técnica, os operadores confiaram na confiança em um domínio familiar, em um guia convincente e em um comando que parecia um passo de instalação legítimo. O resultado pode incluir sessões de navegador roubadas, senhas, chaves de nuvem e dados de carteiras de criptomoedas. Analistas da Huntress identificaram o malware após investigar uma intrusão no macOS em meados de julho.
descoberta e escopo
O MacSync combina roubo de credenciais, acesso remoto, captura de tela e phishing focado em carteiras em uma cadeia de seis estágios. A vítima pesquisou no Google por instruções para instalar o Claude em um Mac e clicou em um resultado patrocinado em vez do listing genuíno. O anúncio levou a uma conversa pública do Claude estilizada como um guia de suporte da Apple. Ela instruiu o usuário a abrir o Terminal e executar um comando curl ofuscado em Base64, uma abordagem também vista em ataques de anúncios de artefatos do Claude.
Esse comando buscou um carregador, que então recuperou o resto da operação. O carregador chamou um AppleScript remoto diretamente na memória, reduzindo as evidências no dispositivo. Ele também tentou fazer com que a vítima concedesse ao Terminal Acesso Total ao Disco, abrindo áreas protegidas contendo dados do navegador e do sistema.
vetor e exploração
Uma vez concedido o acesso, o AppleScript exibiu uma mensagem falsa do sistema e solicitou repetidamente a senha da conta do macOS até validá-la. Ele colheu cookies do navegador, logins salvos, segredos do keychain, arquivos de desenvolvedor e dados de sessão do Telegram. O malware empacotou as informações para upload antes de remover arquivos temporários.
O MacSync vai além de uma captura de dados única. Ele instala uma ferramenta de acesso remoto persistente que pode executar comandos, transferir arquivos e capturar a tela após obter permissão. Isso reflete backdoors entregues por anúncios maliciosos, que podem transformar um download enganoso em acesso prolongado ao sistema.
roubo de carteiras aumenta as apostas
Os operadores deram ao MacSync um forte foco no roubo de criptomoedas. O stalker busca dados vinculados a aproximadamente 60 extensões de carteira de navegador e 21 aplicativos de carteira desktop. Se encontrar certos aplicativos companheiros de hardware wallet, ele pode substituir seus conteúdos por versões trojanizadas que parecem normais quando abertas.
Esses aplicativos alterados exibem um processo de recuperação falso projetado para coletar a frase semente da carteira. A frase é enviada para servidores controlados pelos atacantes, enquanto o programa retorna à vítima ao aplicativo genuíno, independentemente de a transferência ter sucesso ou falhar. Isso pode criar perda irreversível, pois as frases de recuperação controlam a própria carteira.
medidas de mitigação recomendadas
Os usuários devem baixar software apenas das páginas oficiais dos fornecedores e tratar resultados patrocinados, conversas de IA compartilhadas e posts de suporte como não verificados até serem checados. Eles nunca devem colar comandos no Terminal porque uma página web pede que façam isso. Qualquer solicitação inesperada de Acesso Total ao Disco durante a instalação merece atenção próxima.
As equipes de segurança devem priorizar o comportamento, não apenas hashes de arquivo, porque os carregadores do MacSync mudam com cada build. Sinais úteis incluem URLs decodificadas em Base64 canalizadas para zsh, Terminal iniciando AppleScript de uma solicitação curl, LaunchAgents desconhecidos, aplicativos de carteira re-assinados e captura de tela não-Apple.
Organizações devem isolar dispositivos suspeitos, rotacionar senhas e tokens expostos e mover ativos de carteira para uma nova frase de recuperação de um dispositivo confiável se um puder ter sido inserido.
indicadores de comprometimento (iocs)
- Domínio: agenticsora[.]com (infraestrutura de entrega)
- Domínio: malwareaudit[.]com (infraestrutura alternativa de carregador)
- URL: hxxp://agenticsora[.]com/curl?token (endpoint de carregador zsh)
- IP: 85.206.161[.]241:8443 (servidor command-and-control do RAT)
- Arquivo: /tmp/macsynctoken.lock (mutex de instância única do MacSync)
- Hash SHA-256: 3db8befc08dc02ab7a76b5193abd81653775e8f3ceac5864c7c2188b2dbd3c54 (AppleScript dinâmico)
Nota: Endereços IP e domínios estão intencionalmente defanged (por exemplo, [.]) para evitar resolução acidental. Re-fang apenas dentro de plataformas de inteligência de ameaças controladas como MISP, VirusTotal ou seu SIEM.