Proponha uma correção, faça uma sugestão
Cuidado com o ataque ClickFix: falsa verificação CAPTCHA está a infetar computadores Mac
Uma nova campanha ClickFix para macOS está a utilizar comandos do Terminal para descarregar, montar e executar silenciosamente malware de roubo de informação a partir de ficheiros de imagem de disco maliciosos (DMG).
Alerta para utilizadores Mac: falsa verificação CAPTCHA instala malware que rouba dados pessoais
Os utilizadores de computadores Mac estão a ser alvo de uma nova campanha maliciosa que utiliza falsas verificações CAPTCHA para instalar malware capaz de roubar palavras-passe, dados bancários, documentos e até informações de carteiras de criptomoedas.
A ameaça foi descoberta pelos investigadores da Palo Alto Networks Unit 42 e recorre à técnica conhecida como ClickFix, uma forma de engenharia social que tenta convencer as vítimas a executarem comandos perigosos no Terminal do macOS.
A imagem mostra um longo comando para o Terminal do macOS que é apresentado às vítimas como se fizesse parte de uma verificação CAPTCHA legítima. Na realidade, trata-se de um comando malicioso utilizado numa campanha ClickFix.
Tudo começa com uma falsa verificação
O ataque inicia-se quando o utilizador visita uma página web que apresenta uma suposta verificação CAPTCHA. Em vez de pedir apenas para selecionar imagens ou introduzir caracteres, a página instrui a vítima a abrir o Terminal e a colar um comando para “confirmar” que é uma pessoa real.
Quem seguir as instruções acaba por executar um comando que descarrega silenciosamente um ficheiro malicioso para o computador.
Ao contrário de campanhas anteriores, este novo método automatiza praticamente todo o processo. O comando descarrega um ficheiro DMG, monta-o de forma invisível e executa automaticamente a aplicação maliciosa sem necessidade de mais interação por parte do utilizador.
ClickFix: como o malware é instalado
Após a execução do comando, é descarregado um ficheiro DMG a partir de um servidor controlado pelos atacantes. O ficheiro é guardado temporariamente no sistema e montado através da ferramenta nativa hdiutil do macOS.
De seguida, um script procura aplicações ou instaladores dentro da imagem de disco e executa-os automaticamente.
Os investigadores identificaram uma amostra distribuída através de um ficheiro chamado “s.01M0td.dmg”, que continha uma aplicação autoassinada denominada “NNApp.app”.
O que o malware consegue roubar?
A carga maliciosa pertence à família Atomic macOS Stealer (AMOS), uma das mais conhecidas atualmente no ecossistema macOS.
Depois de instalado, o malware tenta recolher uma enorme quantidade de informação sensível do utilizador.
Entre os dados visados encontram-se:
- Palavras-passe guardadas nos navegadores
- Cookies de autenticação
- Histórico de navegação
- Dados de preenchimento automático
- Cartões de pagamento armazenados
- Tokens de acesso a serviços online
O malware procura ainda informações em navegadores baseados em Chromium, como Chrome, Edge, Brave, Opera, Arc e Vivaldi, bem como em navegadores derivados do Firefox, incluindo LibreWolf, Waterfox, Tor Browser e Zen Browser.
Carteiras de criptomoedas também são alvo
Uma das principais preocupações dos investigadores é o foco nas criptomoedas.
O Atomic macOS Stealer procura dados armazenados em diversas carteiras digitais, incluindo Exodus, Electrum, Atomic Wallet, Wasabi Wallet, Bitcoin Core, Litecoin Core, Binance Wallet, Dogecoin Wallet e TonKeeper.
Além disso, o malware consegue substituir instalações legítimas do Ledger Live e do Trezor Suite por versões adulteradas, aumentando o risco de roubo de fundos.
Telegram, Discord e Keychain também estão na lista
A recolha de informação não se limita aos navegadores e às criptomoedas.
O malware procura igualmente dados do Telegram Desktop e do Discord, notas armazenadas no Apple Notes, cookies do Safari, documentos PDF, TXT e RTF, bem como ficheiros da Apple Keychain, onde o sistema guarda palavras-passe e outras credenciais.
Toda a informação recolhida é comprimida num ficheiro ZIP e enviada para servidores controlados pelos atacantes.
ClickFix: como se proteger
Os especialistas deixam uma recomendação simples: nunca execute comandos no Terminal apenas porque um website o solicita.
Nenhum serviço legítimo necessita que os utilizadores executem comandos no Terminal para validar CAPTCHAs, corrigir problemas do navegador ou concluir verificações de segurança.
Sempre que surgir uma instrução deste género, a melhor opção é fechar imediatamente a página. A regra é simples, se não compreender exatamente o que um comando faz, não o execute.
Loading ...
No windows basta irem a appdata/temp e remover e usar malwarebytes para limpar logo antes que espalhe
Uma dica, não sabe o que o comando faz não executem
Tal e qual. Está referido no artigo, mas é sempre bom alertar.
Não é bem isso. O ClickFix leva o utilizador a crer que está a fazer uma coisa – resolver um problema (“FIx it!”). Só que se está a fazer outra – instalar um infostealer. Seja no Windows, seja no Mac.
Mesmo assim, o terminal requer a introdução da palavra passe para instalar seja o que for.
Então o problema aqui continua entre a cadeira e o teclado…
m…mas….mas mac são infaliveis!!!
Só para gagos…
Vale a pena perguntar ao Gemini:
P: Quais são as semelhanças entre o ClickFix para Windows e para macOS?
R: O termo “ClickFix” é uma técnica de engenharia social (ciberataque) altamente enganosa. Embora o ataque se adapte aos componentes nativos de cada sistema operativo, as campanhas de ClickFix para Windows e para macOS partilham semelhanças fundamentais na sua estrutura e abordagem:
1. O Engodo Inicial
Em ambos os sistemas, o ataque começa da mesma forma: o utilizador entra num site legítimo comprometido ou numa página fraudulenta e depara-se com um pop-up urgente. O aviso alega um erro no browser (ex: Chrome ou Edge) ou pede uma verificação para provar que “não é um robô” (falso Cloudflare ou CAPTCHA).
2. Engenharia Social Baseada na Ação do Utilizador
O vetor de ataque depende inteiramente da execução por parte do utilizador (técnica conhecida como Malicious Copy and Paste). O site oferece um botão que copia automaticamente um código malicioso para a área de transferência (clipboard) e fornece instruções passo a passo para o utilizador colar e executar esse comando.
3. Abuso de Ferramentas Nativas da Linha de Comandos
Para evitar levantar suspeitas e passar por filtros tradicionais de download de ficheiros, o ClickFix manipula o utilizador para abrir os interpretadores de comandos nativos do sistema operativo:
• No Windows: O utilizador é instruído a abrir a caixa “Executar” (Win + R) ou o PowerShell/Prompt de Comando.
• No macOS: O utilizador é instruído a abrir o Terminal (Command + Space > Terminal).
4. Evasão de Defesas Automatizadas
Como o próprio utilizador abre uma ferramenta confiável do sistema e cola o texto manualmente, o ataque consegue contornar barreiras automáticas de segurança dos browsers (como o Safe Browsing) e assinaturas estáticas de antivírus, já que nenhum ficheiro executável .exe ou .app foi descarregado diretamente no clique inicial.
5. O Objetivo Final (Infostealers)
A finalidade do script executado, tanto em Windows como em Mac, é ligar-se a um servidor remoto (C2) para descarregar um Infostealer (malware de roubo de informações).
Nota de Segurança: Nunca copie e cole comandos sugeridos por páginas web no seu Terminal (Mac) ou na caixa Executar/PowerShell (Windows). Versões recentes do macOS (a partir da versão 16.4) e sistemas de proteção modernos já começaram a implementar bloqueios automáticos quando detetam colagens suspeitas de malware no Terminal.”
LOL, vindo daqui é sempre gerado por AI.
Nem entendo o porque do “esforço”.