Clickfix no macOS: Campanha de Malware AppleScript Usa Prompts do Terminal para Roubar Dados

Resumo

A campanha de malware AppleScript tem como alvo os usuários macOS via uma técnica ClickFix, persuadindo-os a executar manualmente comandos de shell decodificados em base64 no Terminal. Esses comandos recuperam um ladrão AppleScript que coleta dados do navegador, carteiras de criptomoedas, documentos locais e outras informações sensíveis, então as exfiltram para servidores controlados pelo invasor. Porque nenhum binário tradicional é escrito no disco, a atividade é mais difícil de detectar com AV clássico. A operação depende de múltiplos domínios enganosos e portas de serviço incomuns para tráfego de comando e controle.

Análise da Campanha AppleScript

Os pesquisadores examinaram os sites de phishing, o JavaScript responsável pela entrega da carga útil e o AppleScript usado para coleta e exfiltração. O mapeamento da infraestrutura revelou domínios como cryptoinfo-news.com and odyssey1.to, juntamente com serviços expostos nas portas 22, 80, 3333 e 5201. A carga útil do AppleScript empacota os dados roubados em um arquivo ZIP em /tmp/out.zip e usa curl para enviá-lo para um endpoint remoto.

Mitigação

Os defensores devem bloquear os domínios maliciosos identificados e limitar conexões de saída em portas incomuns. Reforce os hosts macOS restringindo o uso de AppleScript e shell, monitorando para padrões de execução base64-d | bash e aplicando controles CORS rígidos em ambientes web. O treinamento de conscientização em segurança deve destacar páginas de phishing que instruem os usuários a copiar-colar e executar comandos no Terminal.

Resposta

Quando esses padrões de indicador forem detectados, notifique o SOC, isole o sistema afetado e capture artefatos temporários e o histórico do shell. Realize uma revisão forense do diretório /tmp , coloque em quarentena quaisquer arquivos ZIP suspeitos e correlacione o tráfego de saída com os servidores C2 e portas conhecidas identificadas na campanha.

Execução de Simulação

Pré-requisito: O Check Pre‑flight de Telemetria & Baseline deve ter sido aprovado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa refletem diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção.

• Narrativa & Comandos do Ataque:

  1. O atacante envia um email de phishing contendo a linha única:

     echo "cHJpbnQoJ0NhdXNlJykK" | base64 -d | bash

     (A carga útil decodifica para print('Causa') – um espaço reservado para qualquer script malicioso Bash.)

  2. Um usuário desavisado copia a linha e cola no Terminal.

  3. macOS gera um processo bash cuja linha de comando exatamente corresponde ao padrão base64 -d | bash, satisfazendo a seleção.

  4. A linguagem Bash executa a carga útil decodificada, completando a ação maliciosa (por exemplo, estabelecendo um shell reverso, baixando ferramentas adicionais).

• Script de Teste de Regressão: O script abaixo automatiza os passos 1‑3, reproduzindo a telemetria necessária para validação.

  #!/bin/bash
  # -------------------------------------------------
  # Simular execução de Decodificação Base64‑e‑Bash no macOS
  # -------------------------------------------------
  # Carga útil em Base64 (imprime “Comprometimento”)
  PAYLOAD="cHJpbnQoJ0NvbXByb21pc2UnKQ=="
  
  # Executa a linha única exatamente como um atacante faria
  echo "$PAYLOAD" | base64 -d | bash
  
  # Sai com o status do comando Bash
  exit $?

• Comandos de Limpeza: Remova quaisquer arquivos temporários ou processos em segundo plano que possam ter sido criados pela carga útil (substitua por limpeza específica da carga útil, se necessário).

  #!/bin/bash
  # Limpeza simples – garante que não restem processos filho do Bash
  pkill -f "base64 -d | bash" 2>/dev/null
  # Se a carga útil criou arquivos, exclua-os (exemplo de espaço reservado)
  rm -f /tmp/malicious_script.sh 2>/dev/null