ClickFix no macOS: um comando colado esvazia a carteira cripto aos poucos
Uma campanha ClickFix contra o macOS analisada pela Huntress termina com a vítima colando um único comando no Terminal e entregando o chaveiro, as senhas do navegador e, potencialmente, uma fatia da própria criptomoeda. Os pesquisadores publicaram as conclusões em 6 de agosto de 2026, depois que uma caça retrospectiva a ameaças feita em junho revelou um ladrão escrito em Go que estava num Mac monitorado desde março, cerca de noventa dias sem ser notado.
Como funciona o ataque ClickFix no macOS
A isca segue o padrão ClickFix já conhecido: um e-mail com um link, uma página que exibe um CAPTCHA falso ou um erro inventado e a instrução para o visitante "se verificar" executando um comando no Terminal. No caminho de entrada nada é explorado. O exploit é o usuário, e o comando colado faz o resto.
Esse comando baixava um script Bash de um endereço controlado pelos atacantes, executava, apagava e em seguida limpava a janela do Terminal e o histórico de comandos para não deixar nada evidente. O script funcionava como perfilador e carregador: consultava o hardware com ferramentas que qualquer administrador de Mac reconheceria, checava a arquitetura do processador e puxava uma de duas cargas Mach-O compiladas em Go, uma para Apple Silicon e outra para Intel.
O que o ladrão leva
Em execução, a carga vasculhava o disco atrás de arquivos que guardam credenciais. Segundo a Huntress, o butim inclui bancos de senhas dos navegadores, credenciais em cache nos cookies e dados do chaveiro da Apple, que num Mac comum é o alvo mais valioso da máquina inteira. Tudo o que era coletado seguia para um endereço externo.
Para chegar às partes do sistema que um processo de usuário comum não alcança, o malware usava o osascript para exibir o que parece um pedido de senha corriqueiro do macOS, embalado como um reparo de arquivos de sistema danificados. É uma caixa de diálogo que o próprio sistema poderia ter mostrado, e digitar a senha ali é exatamente o que completa o comprometimento.
A função DRAIN e por que o roubo parcial é novidade
O que faz esta amostra se destacar é uma rotina que os autores batizaram de DRAIN. Ela procura carteiras de Bitcoin, Litecoin, Dogecoin, Monero, Ethereum e XRP e carrega uma lista fixa de endereços controlados pelos atacantes.
Drenadores de cripto normalmente esvaziam a carteira de uma vez, porque o operador supõe ter uma única chance antes de a vítima perceber. Este traz uma variável DRAIN_PCT e lógica por moeda para calcular quanto vale uma dada porcentagem do saldo, de modo a tirar uma parte em vez de tudo. A Huntress diz ser o primeiro drenador que analisaram capaz de deixar o troco para a vítima de propósito. Uma carteira que perde um por cento em silêncio parece taxa, erro de arredondamento ou memória falha, e um roubo que ninguém denuncia é um roubo que pode se repetir.
Persistência e infraestrutura
O malware se mantinha vivo escondido num caminho que imita os componentes de atualização de software da Apple dentro da pasta Library do usuário e registrando-se no subsistema Background Task Management via launchctl. É um local que quase ninguém inspeciona e um nome que quase ninguém questiona.
O host do carregador, o servidor da carga e o ponto de comando e controle levavam todos à infraestrutura do Aeza Group, um provedor russo de hospedagem à prova de balas. O Aeza foi sancionado pelos Estados Unidos em julho de 2025 e por Reino Unido e Austrália em novembro de 2025, pelo papel de hospedar ransomware, infostealers e outras operações criminosas. Apesar dessas sanções, a mesma infraestrutura continuava atendendo a esta campanha.
Como se proteger
- Trate instruções de Terminal como hostis: recusar-se a colar comandos que você não escreveu e não entende é o único hábito que interrompe toda essa classe de ataque.
- Desconfie de pedidos de senha inesperados: uma caixa que do nada pede a senha do Mac para "reparar arquivos do sistema" é sinal vermelho, e cancelar não custa nada.
- Mantenha cripto relevante fora da máquina do dia a dia: uma carteira de hardware mantém as chaves de assinatura longe de qualquer software que consiga rodar no seu Mac.
- Concilie saldos, não só manchetes: a drenagem parcial foi feita para sumir no ruído, então pequenas saídas inexplicadas merecem a mesma atenção que uma carteira zerada.
- Filtre na camada de DNS: a página isca precisa carregar antes de tudo, e bloqueá-la sai mais barato do que limpar depois.
A área de transferência e o navegador viraram silenciosamente a parte mais frágil do ecossistema cripto, e este não é um caso isolado: um script de publicidade comprometido foi flagrado há pouco reescrevendo endereços de carteira em milhares de sites legítimos, e as credenciais colhidas por ladrões como este acabam nos mesmos despejos agregados que originaram o caso das 24 bilhões de senhas expostas num único banco de dados aberto. Como o primeiro elo da cadeia é sempre uma página que precisa carregar, a filtragem em nível de rede pesa mais do que antes, e por isso muitas ferramentas de privacidade hoje trazem listas de bloqueio de DNS que barram a isca antes de o usuário sequer ver o CAPTCHA falso.
