Postos falsos de solução de problemas do macOS instalam ladrões de carteiras de criptomoedas

Os atacantes estão publicando guias falsos de solução de problemas do macOS no Medium, Craft e Squarespace. O objetivo é fazer com que os usuários executem comandos do Terminal que instalem malware direcionado aos dados do iCloud, senhas salvas e carteiras de criptomoedas.

A equipe de Pesquisa de Segurança da Microsoft publicou as descobertas. A campanha está em andamento desde o final de 2025. Ela se aproveita dos usuários de Mac que procuram ajuda para problemas comuns, como liberar espaço em disco ou corrigir erros do sistema.

Em vez de oferecer uma solução legítima, as páginas dizem aos usuários para copiar um comando e colá-lo no Terminal. Esse comando baixa e executa o malware.

Os posts de blog enganosos dizem aos leitores para copiar um comando malicioso e colá-lo no Terminal. Esse comando baixa o malware e o executa no computador da vítima.

A técnica é chamada de ClickFix. É uma engenharia social que transfere a responsabilidade de lançar a carga útil para a vítima. Como o usuário executa o comando diretamente no Terminal, o Gatekeeper do macOS nunca inspeciona a carga útil.

O Gatekeeper normalmente verifica a assinatura de código e a notificação em pacotes de aplicativos abertos pelo Finder, mas esse método contorna isso completamente.

Os atacantes lançaram três campanhas com o mesmo objetivo

A Microsoft identificou três instaladores de campanha:

1. Um carregador.
2. Um script.
3. Um auxiliar.

Todos os três coletam dados sensíveis, estabelecem persistência e exfiltram informações roubadas para os servidores dos atacantes.

As famílias de malware incluem AMOS, Macsync e SHub Stealer. Se qualquer um dos três malwares for instalado, ele visa dados de contas do iCloud e do Telegram. Em seguida, procura documentos privados e fotos com menos de 2 MB. E extrai chaves de carteiras de criptomoedas do Exodus, Ledger e Trezor, e rouba nomes de usuário e senhas salvas do Chrome e do Firefox.

Após a instalação, o malware exibe uma caixa de diálogo falsa e solicita uma senha do sistema para instalar um “ferramenta auxiliar”. Se o usuário inserir a senha, o atacante obtém acesso total aos arquivos e às configurações do sistema.

Em alguns casos, os pesquisadores descobriram que os atacantes apagaram aplicativos legítimos de carteiras de criptomoedas e os substituíram por versões trojanizadas projetadas para monitorar transações e roubar fundos.

Trezor Suite, Ledger Wallet e Exodus foram alguns dos principais aplicativos alvo neste ataque.

A campanha do carregador também inclui um interruptor de desligamento (kill switch). O malware para de executar se detectar um layout de teclado russo.

Pesquisadores de segurança observaram os atacantes usando curl, osascript e outros utilitários nativos do macOS para executar cargas úteis diretamente na memória. Esta é uma abordagem sem arquivos que torna a detecção mais difícil para ferramentas antivírus padrão.

Os atacantes visam desenvolvedores de criptomoedas

Pesquisadores de segurança da ANY[.]RUN descobriram uma operação do Grupo Lazarus chamada “Mach-O Man”. Os hackers usaram a mesma técnica ClickFix por meio de convites de reunião falsos. Eles visavam máquinas de fintech e cripto onde o macOS é comum.

A Cryptopolitan publicou sobre a campanha PromptMink.

Um pacote npm malicioso foi inserido em um projeto de negociação de criptomoedas pelo grupo norte-coreano Famous Chollima por meio de uma alteração gerada por IA. Usando uma abordagem de pacote em duas camadas, o malware obteve acesso aos dados da carteira e aos segredos do sistema.

Ambas as campanhas mostram que os dados das carteiras de criptomoedas são valiosos. Os atacantes estão adaptando seus métodos de entrega, de posts de blog falsos a compromissos de cadeia de suprimentos assistidos por IA, para alcançá-los.