ClickLock: novo malware para macOS força-te a dar a palavra-passe

O ClickLock é daqueles casos que desmonta o mito do “Mac não apanha vírus” com uma certa elegância cruel. É um novo malware para macOS focado em roubar palavras-passe e carteiras de criptomoedas, e nem precisa de explorar falhas do sistema. Limita-se a manipular o utilizador até este ceder.

Investigadores da Group-IB analisaram o script depois de o encontrarem no VirusTotal, onde tinha sido submetido a 9 de junho e continuava com zero detecções por soluções de segurança. Pelo menos 100 máquinas em 33 países já terão sido comprometidas desde maio. Não há foco especial em Portugal, mas isto é claramente global e qualquer utilizador de Mac é alvo válido.

O ataque começa com um engodo ao estilo ClickFix: um comando malicioso colado no Terminal que mostra uma suposta verificação “humana” da Cloudflare, com barra de progresso animada. Enquanto isso, o que interessa acontece por trás: o teclado é bloqueado para não poderes interromper, o cursor do Terminal desaparece, módulos de roubo de dados são descarregados, e o NotificationCenter do macOS é silenciado durante cerca de seis horas, o que reduz bastante hipóteses de alerta por parte de ferramentas de segurança.

O truque central está na forma como o ClickLock te obriga a entregar a palavra-passe. Primeiro, exibe uma caixa de diálogo falsa de palavra-passe de sistema, com o teu nome de utilizador real e um ícone da Apple descarregado da net. Se cedes à pressão, a palavra-passe é validada e enviada para os atacantes via Telegram. Se cancelas, o malware instala persistência com dois LaunchAgents e, no login seguinte, entra em modo de sequestro: a cada 210 milissegundos termina processos-chave como Finder, Dock, Terminal, Monitor de Atividade, browsers e Definições do Sistema, deixando-te na prática apenas com a janela de palavra-passe no ecrã. O ciclo está configurado para durar até cerca de 83 horas ou até receber uma palavra-passe correcta.

Um segundo LaunchAgent trata de algo ainda mais sensível: volta a matar aplicações e pede autorização legítima do Chaves (Keychain) para aceder à chave “Chrome Safe Storage”. Com isto, torna-se possível desencriptar offline palavras-passe, cookies e dados de preenchimento automático de browsers baseados em Chromium. Este loop pode repetir-se durante quase 35 dias. Estamos a falar de uma pressão psicológica prolongada, não de um ataque relâmpago.

O módulo de recolha de dados é abrangente: vasculha oito browsers principais, recolhe logins, cookies, dados de autofill, favoritos, históricos de sessão, extensões de carteiras de criptomoedas e ficheiros de carteiras de secretária, material encriptado de cofres de cripto (para tentativa de quebra offline), dados de gestores de palavras-passe, históricos de shell, configurações recentes do FileZilla, além de informações básicas do sistema e IP público. Tudo é empacotado num ZIP, repartido se ultrapassar 40 MB, e enviado pelo Telegram Bot API com lógica de retentativa. No fim, entra em acção uma versão modificada da ferramenta open-source GSocket, que fica como backdoor persistente, com arranque por LaunchAgent, crontab e ficheiros de configuração de shell, permitindo um reverse shell permanente para o atacante.

Para quem usa macOS em Portugal, isto obriga a ajustar expectativas. Não é preciso clicar em anexos óbvios para ficar comprometido, basta confiar em demasia em comandos de Terminal partilhados em fóruns, Discord ou supostos tutoriais de “correcção rápida”. A janela de detecção é curta, os módulos auto-apagam-se e os domínios de alojamento são legítimos mas comprometidos. O ponto fraco continua a ser o mesmo de sempre: o utilizador no centro da engenharia social, tal como já vimos nos kits de phishing que contornam MFA em minutos. Quem ainda acha que o Mac se protege sozinho está a jogar em desvantagem.

Fonte: BleepingComputer