Novo malware ClickLock Stealer bloqueia Mac até senha ser fornecida
Grupo de cibersegurança alerta sobre ClickLock Stealer, malware que trava Macs e coleta dados sensíveis de usuários em 33 países.
A empresa de cibersegurança Group-IB identificou uma nova ameaça global focada em usuários do macOS. O malware, chamado ClickLock Stealer, causa caos ao travar a máquina e fechar aplicativos incessantemente, até que a vítima revele sua senha de administrador. Descoberto em maio, o código malicioso já impactou usuários em 33 países.
De acordo com especialistas da Group-IB, o ClickLock Stealer pode extrair informações sensíveis, como credenciais bancárias e dados de carteiras de criptomoedas. O que diferencia essa infecção de outros golpes é que ela se baseia em engenharia social, explorando a confiança do usuário. A vítima precisa copiar um código malicioso de uma página da web e executá-lo no Terminal do macOS, a ferramenta de linha de comando.
O processo começa em sites fraudulentos que imitam verificações comuns, como testes anti-bot ou alertas de segurança do navegador. A página maliciosa orienta o visitante a copiar um comando e executá-lo no Terminal como um “pré-requisito” para acessar o conteúdo desejado. Após rodar o código, o malware baixa módulos em segundo plano e pode até apresentar uma falsa animação de carregamento, como se uma verificação de segurança estivesse em andamento. Nesse momento, uma janela solicita a senha de administrador.
Se a vítima hesitar e recusar a solicitação, o malware ativa um modo de bloqueio, encerrando aplicativos a cada 210 milissegundos. Além disso, as notificações de segurança ficam desativadas por até seis horas, tornando a máquina praticamente inutilizável. Muitas vezes, o usuário acaba cedendo e fornece a senha. Após isso, uma segunda solicitação de senha oferece acesso às Chaves do iCloud, ou Keychain, liberando o acesso ao sistema de armazenamento de senhas do Google Chrome.
Com o caminho livre, o malware varre rapidamente o computador, coletando credenciais armazenadas no navegador, dados do Keychain e informações de gerenciadores de senhas, além de acessos a carteiras de criptomoedas. Todos os dados são enviados para um bot no Telegram controlado pelos invasores. Para piorar a situação, a ameaça instala um backdoor, garantindo controle do Mac mesmo após desligamento e religamento.
A pesquisa da Group-IB registrou pelo menos 100 vítimas, com mais da metade dos casos concentrados na Europa. Para enfrentar essas táticas que exploram a linha de comando, a Apple introduziu, no macOS Tahoe 26.4, um recurso que visa impedir infecções antes que causem danos. Agora, ao tentar colar um comando copiado da internet ou de um aplicativo de terceiros no Terminal, o sistema exibe um alerta de segurança. Essa função bloqueia a execução automática do script, negando a colagem se o código for proveniente de uma assinatura de malware conhecida. Os navegadores também estão se adaptando a essa nova realidade.
