Pesquisadores da Microsoft e da empresa de inteligência cibernética RST Cloud identificaram um programa espião voltado para o sistema macOS, batizado de MacSync Stealer. O vírus troca de endereço na internet quase em tempo real para escapar de barreiras de proteção tradicionais.
Os dados foram divulgados inicialmente pela RST Cloud em maio e complementados em relatório publicado pela Microsoft nesta terça-feira (18). Os documentos apontam que o bloqueio convencional de páginas perde a eficácia quando os invasores conseguem registrar novos links em questão de horas.
Nossos vídeos em destaque
Para superar a velocidade dos criminosos, os analistas mudaram a estratégia de investigação. Ao invés de monitorar cada site novo colocado no ar, a equipe passou a rastrear o comportamento fixo do código durante a invasão. A partir desse padrão contínuo, os especialistas conectaram mais de 30 endereços na internet à mesma rede criminosa.
Em relatório oficial, a equipe da Microsoft detalhou a dinâmica da ameaça: “O MacSync Stealer é um ladrão de informações focado em macOS que depende de uma infraestrutura em constante mudança para entregar cargas maliciosas, comunicar com dispositivos comprometidos e extrair dados. Especialistas do Microsoft Defender ampliaram essa visão ao correlacionar terminais recorrentes e comportamentos de rede ao longo da atividade. Essa abordagem baseada em comportamento conectou mais de 30 domínios e mostrou que a estrutura suportava mais do que comunicação, estendendo-se à coleta ativa, preparação e envio de dados”, avaliou.
O golpe do comando colado
O ataque começa com um truque simples de engenharia social conhecido como ClickFix. Os invasores convencem o próprio usuário a copiar e colar uma linha de código diretamente no Terminal do Mac, sob a promessa de tutoriais, correções de falhas em sites ou instaladores de programas populares.
Assim que a vítima executa a instrução, o sistema faz o download de arquivos maliciosos e aciona rotinas que utilizam ferramentas nativas do próprio computador Apple. O procedimento faz com que a invasão se pareça com uma tarefa interna e legítima do sistema operacional, o que confunde mecanismos de proteção comuns.
Com o acesso liberado, o objetivo do programa é capturar dados sigilosos. O vírus vasculha o Chaveiro do macOS, senhas salvas e cookies de navegadores como Google Chrome e Safari, credenciais de servidores corporativos em nuvem e documentos pessoais em pastas do computador. O código busca especificamente informações vinculadas a carteiras físicas de criptomoedas, como Ledger e Trezor.
Durante a ação maliciosa, o programa também abre uma janela falsa na tela e solicita a senha de administrador da máquina. No momento em que o usuário digita o código de acesso, o dado é enviado em texto legível diretamente para os servidores controlados pelos golpistas.
Rastros digitais e o envio dos dados
O envio das informações recolhidas obedece a uma rotina padronizada. Os dados são compactados em pastas temporárias do computador, divididos em pequenos pacotes e transmitidos aos poucos. Logo após a conclusão da transferência, o vírus remove todos os arquivos criados para não deixar registros no disco rígido.
Apesar da tentativa de apagar as pistas, a sequência de passos ajuda as equipes de segurança a identificar os ataques, conforme afirmou a Microsoft.
“Após a extração, o malware removeu arquivos temporários, pastas de preparação, arquivos de bloqueio e outros artefatos. Embora essa limpeza tenha reduzido as evidências em disco, a sequência de criação de arquivo, envio em partes e exclusão ainda oferece uma correlação comportamental útil para os defensores”.
Análises complementares da RST Cloud reforçam que, por trás da constante mudança de endereços, o modelo técnico dos criminosos é repetitivo. Em relatório assinado pelo estrategista Alexander Gould, a empresa localizou uma chave de identificação idêntica compartilhada por diferentes servidores da quadrilha, com registros de operações paralelas ativas desde o início de 2026.
Como se proteger
Pesquisadores de segurança da Microsoft e da RST Cloud alertam que o bloqueio isolado de endereços web é ineficaz a longo prazo diante da rotatividade dos servidores. A recomendação central para usuários de macOS é nunca copiar e colar comandos no Terminal a partir de instruções em páginas desconhecidas, chats de suporte ou mensagens não solicitadas.
Atualizações recentes do sistema da Apple trazem travas de segurança que exibem alertas e chegam a bloquear comandos suspeitos inseridos no Terminal. Manter o computador atualizado, utilizar autenticação em duas etapas e desconfiar de pedidos inesperados de senha de administrador após visitar páginas da internet permanecem como as principais medidas de proteção.
Por falar em universo digital, a Meta promoveu anúncios de app que promete criar falsas fotos íntimas de mulheres com IA. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.
Meridiano
)