O ClickLock Stealer é um novo programa modular de roubo de informações para o macOS, distribuído através de páginas de phishing ao estilo do ClickFix, que pode bloquear Mac da vítima, roubar a sua palavra-passe do macOS, os dados do navegador e do gestor de palavras-passe, bem como as carteiras de criptomoedas, e, em seguida, instalar um backdoor persistente.
O malware foi descoberto pelos investigadores do Group-IB. Deram-lhe esse nome devido à técnica de distribuição «ClickFix» e à sua capacidade de bloquear Mac da vítima Mac esta não siga as suas instruções, encerrando todos os processos visíveis.
Os investigadores descobriram um script shell malicioso, normalmente utilizado para induzir os utilizadores a infetarem os seus próprios dispositivos, e seguiram o rasto a partir daí. O script apresenta, em primeiro lugar, uma barra de progresso falsa da Cloudflare, o que sugere que se destinava a ser utilizado como parte de um fluxo de verificação falso do navegador.
As vítimas são redirecionadas para uma página de phishing que imita a verificação da Cloudflare ou outro utilitário de sistema falso, semelhante aos utilizados na campanha «Infiniti Stealer» e, posteriormente, nos ataques «ClickFix» que se fazem passar pelo Claude ou por utilitários de limpeza.
A página indica ao utilizador que abra o Terminal, cole um comando e prima a tecla Return, apresentando-o como um passo obrigatório de «verificação humana» ou como uma solução rápida.
Os investigadores explicam:
«O malware aciona outros módulos que procuram no sistema vários tipos de dados, incluindo credenciais do navegador, dados do gestor de palavras-passe, extensões de carteiras de criptomoedas, ficheiros de carteiras no ambiente de trabalho, etc., e chega mesmo a utilizar um backdoor GSocket.»
Tudo isto acontece enquanto o utilizador está distraído com imagens falsas da Cloudflare.
Um backdoor GSocket explora o GSocket (abreviatura de Global Socket), um conjunto de ferramentas de rede de código aberto. Embora tenha sido concebido para fins legítimos de administração remota e testes de penetração, os atacantes podem utilizá-lo como arma para estabelecer acesso remoto discreto, persistente e encriptado a sistemas comprometidos.
Obrigando as vítimas a revelarem a sua palavra-passe
O que realmente se destaca é a forma como o malware obriga o utilizador a fornecer a palavra-passe do seu sistema macOS.
Em primeiro lugar, apresenta um pedido de palavra-passe do macOS falsificado e convincente, utilizando o nome de utilizador real da vítima e um ícone da Apple descarregado. Se o utilizador introduzir a sua palavra-passe, esta é enviada, juntamente com todos os dados anteriormente roubados, para um canal do Telegram controlado pelos atacantes.
Se o utilizador recusar, o malware ativa um ciclo que encerra processos essenciais, incluindo o Finder, o Dock, o Terminal, o Monitor de Atividade, a Consola, as Definições do Sistema, o Spotlight e todos os principais navegadores da Web. Deixa apenas uma caixa de diálogo de palavra-passe no ecrã até que a vítima ceda.
Este «ciclo infinito» é executado a cada 210 milissegundos durante um período máximo de 83 horas, ou até que o utilizador introduza a palavra-passe correta. O resultado é um sistema que fica praticamente inutilizável, sendo que o pedido de introdução da palavra-passe passa a ser o único elemento interativo.
Assim que os dados roubados são enviados para o canal do Telegram, o malware começa a eliminar os seus próprios módulos. No entanto, ao contrário dos módulos de roubo de informações, o backdoor GSocket permanece instalado, proporcionando ao atacante acesso remoto contínuo ao sistema.
Isso significa que os atacantes podem regressar mais tarde, mesmo depois de os componentes do programa de roubo de dados se terem autoeliminado, para instalar novo malware, roubar mais dados ou deslocar-se pela rede da empresa utilizando VPNs ou acesso SSH já disponíveis no Mac comprometido.
Como se manter seguro
Os utilizadores que utilizem o macOS Tahoe 26.4 e versões posteriores irão veravisos sobre possíveis ataques ClickFix, mas todos devem manter-se cautelosos.
Com o ClickFix a alastrar-se e a inventar novos métodos constantemente, é importante manter-se atento, pensar duas vezes antes de seguir instruções inesperadas e manter os seus dispositivos protegidos.
- Vai com calma. Não teapresses a seguir as instruções de uma página web ou de um aviso, especialmente se te pedirem para executar comandos no teu dispositivo ou para copiar e colar código. Os atacantes aproveitam-se da sensação de urgência para contornar o teu pensamento crítico.
- Evite executar comandos ou scripts provenientes de fontes não confiáveis. Nuncaexecute código ou comandos copiados de sites, e-mails ou mensagens, a menos que confie na fonte e compreenda o que a ação implica.
- Verifique as instruções por conta própria. Seum site lhe pedir para executar um comando ou realizar uma ação técnica, consulte a documentação oficial ou contacte o apoio técnico antes de prosseguir.
- Limite a utilização da função «copiar e colar» nos comandos.Digitar os comandos manualmente, em vez de os copiar e colar, pode reduzir o risco de executar, sem saber, cargas maliciosas ocultas no texto copiado.
- Proteja os seus dispositivos. Utilize um sistema atualizado e em tempo real solução antimalware com proteção na Web. Malwarebytes ligações a sites perigosos como estes.
- Mantenha-se informado sobre as técnicas de ataque em constante evolução.Compreender que os ataques podem surgir de fontes inesperadas ajuda a manter a vigilância. Continue a ler o nosso blogue!
- Evite os anúncios patrocinados nos resultados de pesquisa.Qualquer pessoa pode comprá-los e fazê-los parecer legítimos.
Dica de profissional:O Malwarebytes Browser Guard avisa-o quando um site tenta copiar algo para a sua área de transferência.
Não nos limitamos a comunicar as ameaças - eliminamo-las
Os riscos de cibersegurança nunca se devem propagar para além de uma manchete. Mantenha as ameaças longe dos seus dispositivos descarregando Malwarebytes hoje mesmo.
