Uma operação de ClickFix no macOS, que envolve mais de 250 domínios de front-end, agora faz fingerprint dos visitantes antes de decidir se exibe uma isca de malware, uma mudança que a Microsoft Threat Intelligence acompanhou em uma infraestrutura monitorada há semanas.
A barreira no lado do servidor oculta a página maliciosa de crawlers e sandboxes, enquanto apresenta a usuários selecionados de Mac um falso download de software.
A Microsoft afirmou que o cluster mais amplo distribuía MacSync e Atomic Stealer (AMOS); a cadeia analisada pela empresa até essa barreira terminava em AMOS.
O ataque ainda exige que o usuário copie e execute um comando ofuscado no Terminal.
Esse comando busca scripts e inicia um infostealer voltado a credenciais, dados do navegador, armazenamentos de autenticação, carteiras de criptomoedas e arquivos sensíveis.
A Microsoft não divulgou números de vítimas, setores visados nem a identidade dos operadores.
Os usuários não devem seguir instruções de sites, CAPTCHA, chat ou download que peçam para colar texto no Terminal.
Em uma análise publicada em 5 de agosto, a Microsoft disse que a infraestrutura mudou ao longo de várias semanas de monitoramento.
Em páginas anteriores, as instruções de ClickFix, a lógica da área de transferência, o comando de shell ofuscado e o endereço de preparação codificado apareciam diretamente no HTML, o que facilitava a recuperação por scanners estáticos.
O script da barreira, com cerca de 2,5 KB de JavaScript, lê valores do navegador como a string de plataforma, que em um Mac real deve retornar MacIntel, além de dimensões de tela e janela e sinais gráficos de WebGL, usados para diferenciar hardware Apple legítimo de uma máquina virtual ou de um ambiente emulado.
Ele verifica o fuso horário, se a página está embutida em um iframe e se o dispositivo informa suporte a toque, algo que Macs de mesa geralmente não têm.
Duas verificações são voltadas especificamente a analistas: um contador que aumenta quando o console de desenvolvimento do navegador está aberto e uma chamada a canPlayType("video/mp4") reaproveitada como armadilha para identificar navegadores furtivos que falsificam suporte a codecs em JavaScript.
O pacote é identificado como mode:"php" e enviado de volta sem interação do usuário.
O navegador envia o fingerprint ao servidor, que decide o que o visitante verá.
Um crawler, uma sandbox ou um visitante em uma localização indesejada pode receber uma página em branco, uma falsa extensão de navegador ou um site comercial sem relação com o ataque.
Já uma requisição com aparência de Mac legítimo, no contexto esperado, recebe uma página com tema do GitHub e botão "Download for macOS", além de um selo falsificado de "Verified Publisher".
"Uma resposta aparentemente benigna ou parecida com uma legítima não significa que o domínio seja seguro", afirmou a Microsoft Security Research e Srinivasan Govindarajan, pesquisador sênior de segurança da empresa, no relatório.
A decisão acontece no lado do servidor, por requisição, então duas visitas ao mesmo endereço podem exibir páginas totalmente diferentes.
A Microsoft confirmou mais de 250 domínios de front-end durante sua janela de monitoramento.
Muitos combinam a palavra "file" com termos de dicionário, incluindo filecopperbasket[.]sbs e applefilevault[.]com.
A empresa alertou que esse padrão é apenas uma pista para investigação.
O sinal mais forte combina nomes descartáveis, comportamento compartilhado de infraestrutura e a barreira de fingerprint.
Depois que a vítima executa o comando, ele se conecta a um caminho /curl/<id> e obtém scripts adicionais antes de iniciar AMOS na cadeia analisada pela Microsoft.
A empresa disse que o cluster mais amplo de domínios também distribuiu MacSync, mas não mapeou cada domínio para um payload específico.
As equipes de defesa devem monitorar navegação seguida de atividade incomum no Terminal, especialmente curl enviado para zsh, decodificação Base64, osascript e criação de arquivos compactados seguida de requisições POST de saída via HTTP.
Como a página maliciosa só aparece para visitantes qualificados, a medida recomendada é investigar a barreira, e não o malware por trás dela: monitorar formulários de fingerprint que se submetem sozinhos, campos ocultos de fingerprint e o artefato mode:"php", além de bloquear a infraestrutura de preparação compartilhada e os caminhos /curl/ em vez de perseguir domínios de front-end descartáveis.
A Apple lançou o macOS 26.4 em 24/03/2026 e documentou as proteções em detalhes em 03/08.
O Terminal exibe um prompt de confirmação para usuários que não o abrem há mais de 30 dias, não têm ferramentas comuns de desenvolvimento e colam conteúdo de navegadores ou apps de mensagens.
Separadamente, o XProtect pode rastrear comandos colados em qualquer emulador de terminal, inspecionar sua árvore de processos e artefatos de rede e bloquear atividades associadas a malware conhecido.
O relatório mapeia a infraestrutura e o mecanismo, mas não a escala da campanha nem quem a opera, pontos que a Microsoft manteve em sigilo.
Pelas evidências apresentadas, a barreira parece mais uma medida contra análise automatizada do que uma mudança no ataque em si: ela oculta a infraestrutura de crawlers e sandboxes, enquanto a isca entregue a um Mac qualificado e a exigência de que o usuário cole e execute o comando permanecem inalteradas.
Recusar esse passo continua sendo tão protetor quanto antes.
A operação amplia uma mudança documentada pela Microsoft em maio, quando campanhas de infostealer no macOS passaram a usar comandos no Terminal para buscar scripts remotos em vez de distribuir uma imagem de disco para instalação manual.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...