Campanha ClickFix distribui infostealer em Go para roubar criptomoedas de usuários macOS
Uma campanha ativa de ClickFix está enganando usuários de macOS para colar e executar comandos maliciosos no Terminal, instalando um infostealer escrito em Go. O malware rouba senhas salvas no navegador, dados do Keychain e carteiras de criptomoedas (Bitcoin, Ethereum, Monero, entre outras), driblando o Gatekeeper ao remover o atributo de quarentena dos arquivos. Uma característica incomum é a possibilidade de configurar o saque de apenas uma fração dos fundos da vítima, tornando o roubo mais difícil de perceber a tempo.
Pesquisadores identificaram uma campanha ativa explorando a técnica ClickFix, historicamente usada para distribuir ransomware e RATs no Windows, agora adaptada para macOS. Isso reforça que o sistema deixou de ser um "porto seguro" e passou a ser alvo direto de operações de fraude financeira.
A isca chega por e-mail ou página falsa que simula uma verificação ou correção de erro e instrui a vítima a colar um comando no Terminal. O comando baixa um script Bash que identifica a arquitetura do processador (Intel ou Apple Silicon) e busca o payload correspondente. Para rodar sem alertas do sistema, o malware remove o atributo de quarentena do arquivo, driblando o Gatekeeper, e usa diálogos falsos via osascript que imitam prompts legítimos para induzir a vítima a digitar a própria senha de administrador.
Uma vez instalado, o infostealer coleta credenciais salvas em navegadores, dados do Keychain, cookies em cache e varre carteiras de seis criptomoedas diferentes. Diferente de drenadores tradicionais que esvaziam a carteira de uma vez — o que dispara alertas imediatos —, esta variante pode ser configurada para sacar apenas uma porcentagem dos fundos, tática pensada para prolongar o acesso sem ser percebida.
O principal sinal de alerta é a própria mecânica do ClickFix: nenhuma verificação legítima de site, CAPTCHA ou "correção de erro" exige colar comandos no Terminal. Usuários devem desconfiar de qualquer página ou e-mail que peça isso, verificar a origem do link antes de clicar, manter Gatekeeper e XProtect ativos, e usar soluções de segurança para macOS capazes de detectar abuso de osascript e remoção de atributos de quarentena. Para times de resposta, monitorar retiradas parciais e incomuns em carteiras cripto corporativas pode ser um indicador tardio, mas ainda útil, de comprometimento.