O ClickLock Stealer é um novo programa modular de roubo de informações para o macOS, distribuído por meio de páginas de phishing no estilo ClickFix, capaz de bloquear Mac da vítima, roubar sua senha do macOS, dados do navegador e do gerenciador de senhas, além de carteiras de criptomoedas, e, em seguida, instalar um backdoor persistente.
O malware foi descoberto por pesquisadores do Group-IB. Eles o batizaram com base na técnica de distribuição ClickFix e em sua capacidade de bloquear Mac da vítima Mac ela não siga suas instruções, encerrando todos os processos visíveis.
Os pesquisadores identificaram um script shell malicioso, normalmente usado para induzir os usuários a infectarem seus próprios dispositivos, e seguiram a trilha a partir daí. O script exibe, inicialmente, uma barra de progresso falsa do Cloudflare, o que sugere que se destinava a ser utilizado como parte de um fluxo falso de verificação do navegador.
As vítimas são direcionadas para uma página de phishing que imita a verificação do Cloudflare ou outro utilitário de sistema falso, semelhante aos utilizados na campanha Infiniti Stealer e, posteriormente, nos ataques do ClickFix que se fazem passar pelo Claude ou por utilitários de limpeza.
A página orienta o usuário a abrir o Terminal, colar um comando e pressionar a tecla Return, apresentando isso como uma etapa obrigatória de “verificação humana” ou uma solução rápida.
Os pesquisadores explicam:
“O malware aciona outros módulos que vasculham o sistema em busca de diversos dados, incluindo credenciais de navegadores, dados de gerenciadores de senhas, extensões de carteiras de criptomoedas, arquivos de carteiras na área de trabalho etc., e chega até a utilizar um backdoor GSocket.”
Tudo isso acontece enquanto o usuário está distraído com imagens falsas da Cloudflare.
Um backdoor do GSocket se aproveita do GSocket (abreviação de Global Socket), um kit de ferramentas de rede de código aberto. Embora tenha sido projetado para fins legítimos de administração remota e testes de penetração, os invasores podem utilizá-lo como arma para estabelecer acesso remoto oculto, persistente e criptografado a sistemas comprometidos.
Obrigando as vítimas a revelarem suas senhas
O que realmente chama a atenção é a forma como o malware obriga o usuário a fornecer a senha do seu sistema macOS.
Primeiro, ele exibe uma janela de senha do macOS falsificada e convincente, utilizando o nome de usuário real da vítima e um ícone da Apple baixado. Se o usuário digitar sua senha, ela é enviada, juntamente com todos os dados roubados anteriormente, para um canal do Telegram controlado pelos invasores.
Se o usuário se recusar, o malware aciona um ciclo que desativa processos essenciais, incluindo o Finder, o Dock, o Terminal, o Monitor de Atividades, o Console, as Configurações do Sistema, o Spotlight e todos os principais navegadores da web. Ele deixa apenas uma caixa de diálogo de senha na tela até que a vítima ceda.
Esse “ciclo infinito” é executado a cada 210 milissegundos por até 83 horas, ou até que o usuário digite a senha correta. O resultado é um sistema que fica praticamente inutilizável, com a solicitação de senha se tornando o único elemento interativo.
Assim que os dados roubados são enviados para o canal do Telegram, o malware começa a excluir seus próprios módulos. No entanto, ao contrário dos módulos de roubo de informações, o backdoor GSocket permanece instalado, proporcionando ao invasor acesso remoto contínuo ao sistema.
Isso significa que os invasores podem retornar mais tarde, mesmo depois que os componentes do roubador de dados tiverem se autoexcluído, para instalar novos malwares, roubar mais dados ou se movimentar pela rede corporativa usando VPNs ou acesso SSH já disponíveis no Mac comprometido.
Como se manter seguro
Os usuários que estiverem executando o macOS Tahoe 26.4 e versões posteriores receberãoavisos sobre possíveis ataques do tipo ClickFix, mas todos devem permanecer cautelosos.
Com o ClickFix se espalhando rapidamente e criando novos métodos o tempo todo, é importante ficar atento, pensar duas vezes antes de seguir instruções inesperadas e manter seus dispositivos protegidos.
- Vá com calma. Não seapresse em seguir instruções em uma página da web ou em uma mensagem, especialmente se elas pedirem que você execute comandos no seu dispositivo ou copie e cole código. Os invasores se valem da sensação de urgência para contornar o seu pensamento crítico.
- Evite executar comandos ou scripts provenientes de fontes não confiáveis. Nuncaexecute códigos ou comandos copiados de sites, e-mails ou mensagens, a menos que você confie na fonte e compreenda o que a ação faz.
- Verifique as instruções por conta própria. Seum site solicitar que você execute um comando ou realize uma ação técnica, verifique a documentação oficial ou entre em contato com o suporte antes de prosseguir.
- Limite o uso de copiar e colar em comandos.Digitar os comandos manualmente, em vez de copiá-los e colá-los, pode reduzir o risco de executar, sem saber, códigos maliciosos ocultos no texto copiado.
- Proteja seus dispositivos. Use um sistema atualizado e em tempo real solução antimalware com proteção na web. Malwarebytes conexões com sites perigosos como esses.
- Mantenha-se informado sobre as novas técnicas de ataque.Compreender que os ataques podem vir de fontes inesperadas ajuda a manter a vigilância. Continue acompanhando nosso blog!
- Fique longe dos anúncios patrocinados nos resultados de busca.Qualquer pessoa pode comprá-los e fazê-los parecer legítimos.
Dica profissional:O Malwarebytes Browser Guard avisa quando um site tenta copiar algo para a sua área de transferência.
Não nos limitamos a informar sobre as ameaças, nós as removemos
Os riscos de segurança cibernética nunca devem se espalhar além de uma manchete. Mantenha as ameaças longe de seus dispositivos fazendo o download Malwarebytes hoje mesmo.
