Malware impede uso do Mac por 83 horas até a digitação da senha
Descoberta do ClickLock Stealer: Novo Malware para macOS
O ClickLock Stealer, um novo malware direcionado ao macOS, foi identificado pela empresa de segurança Group-IB em junho de 2026. Até o momento, ele já infectou mais de 100 sistemas em 33 países. Este ataque utiliza engenharia social para induzir as vítimas a executar um comando malicioso no Terminal, bloqueando o computador por até 83 horas consecutivas, enquanto força o usuário a fornecer a senha do macOS.
Diferente de outros malwares, o ClickLock Stealer não explora falhas do sistema operacional e não requer privilégios elevados. Ele torna o computador inutilizável, utilizando a pressão psicológica como uma forma de coerção.
A descoberta do malware foi feita em 9 de junho de 2026, quando um script malicioso foi encontrado no VirusTotal. Naquele momento, nenhuma solução de segurança detectava a ameaça, o que representa um alerta significativo para equipes de TI corporativas.
Como o ataque começa: a falsa verificação Cloudflare
O ataque se inicia quando a vítima acessa uma página que apresenta uma tela falsa de verificação Cloudflare, semelhante a um CAPTCHA comum. A diferença é que essa “verificação” orienta o usuário a copiar e colar um comando no Terminal do macOS.
Essa técnica, chamada ClickFix, explora a familiaridade dos usuários com interfaces legítimas, contornando barreiras de segurança. Não há downloads suspeitos ou anexos de e-mail; o ataque depende da ação do usuário, que é o elo mais vulnerável na segurança.
Leia também
Após a execução do comando, o ClickLock Stealer é instalado e inicia um ciclo de coerção, tornando impossível o uso normal do computador.
O loop de 83 horas: pressão psicológica como vetor técnico
O ClickLock Stealer se destaca por seu mecanismo de coerção. A cada 210 milissegundos, o malware fecha todos os aplicativos visíveis, tornando impossível qualquer interação do usuário. Esse ciclo pode durar até 83 horas, persistindo mesmo após reinicializações do sistema.
A lógica por trás desse ataque é simples e eficaz: ao invés de explorar vulnerabilidades técnicas, o malware explora a pressão psicológica do usuário, forçando-o a fornecer sua senha.
O que o malware rouba após obter a senha
Uma vez que a senha é obtida, o ClickLock Stealer atua em larga escala, visando oito navegadores, 31 extensões de carteiras de criptomoedas, sete extensões de gerenciadores de senhas e oito aplicativos de carteira desktop. Ele também rastreia endereços blockchain em seis redes diferentes.
Os dados visados incluem credenciais armazenadas, informações do Keychain do macOS e chaves de criptografia. As informações são enviadas para um bot do Telegram, dificultando a detecção por soluções de segurança tradicionais.
Para evitar alertas, o malware suprime notificações de segurança do macOS por cerca de seis horas, permitindo a exfiltração de dados sem que o usuário perceba. Após a execução, os módulos se autodeletam, dificultando a análise forense.
O impacto real para equipes de TI e Cibersegurança corporativa
Até agora, foram confirmados pelo menos 100 sistemas infectados, com uma concentração significativa na Europa. O perfil dos dados visados indica uma motivação financeira clara, representando um risco considerável para ambientes corporativos.
A indetectabilidade do malware no VirusTotal no momento da descoberta destaca as limitações das abordagens reativas de segurança. O uso do Telegram como canal de exfiltração contorna firewalls tradicionais, e a autodestruição dos módulos torna a resposta a incidentes mais complexa.
O ClickLock Stealer desafia a percepção de que Macs são mais seguros. O ataque não explora o sistema, mas sim o comportamento humano. Portanto, qualquer usuário pode se tornar um vetor de ataque, independentemente do sistema operacional.
As empresas devem focar em três frentes: treinamento de conscientização sobre a técnica ClickFix, implementação de políticas restritivas para execução de comandos em terminais e revisão dos protocolos de resposta a incidentes. Além disso, comportamentos anômalos, como o fechamento repetido de processos, devem ser monitorados por soluções de EDR bem configuradas.
Fonte por: Its Show
Autor(a):
Redação
Portal de notícias e informações atualizadas do Brasil e do mundo. Acompanhe as principais notícias em tempo real
