Campanha ClickFix 'Macfinger' distribui infostealer para macOS via falso CAPTCHA

A campanha segue o padrão ClickFix, técnica de engenharia social que já vem se consolidando em 2025-2026: a vítima chega a uma página que simula uma verificação de CAPTCHA ou de 'eu não sou um robô', mas que na verdade injeta um comando malicioso na área de transferência do sistema e instrui o usuário a colá-lo e executá-lo, geralmente sob o pretexto de 'resolver' a verificação. No caso analisado pelo SANS ISC, a página falsa direciona usuários de macOS a abrir o Terminal e colar um comando que baixa um script shell hospedado em 45.131.215[.]56.

Tecnicamente, o script primeiro identifica a arquitetura do sistema via `uname -m` para buscar o payload correto (arm64 ou x86_64), salva o binário em `/Library/Caches/com.apple.securityd/` — um caminho escolhido propositalmente para se camuflar entre artefatos legítimos do subsistema de segurança da Apple — e encerra instâncias anteriores do processo antes de rodar a nova. A persistência é estabelecida por um arquivo `.plist` em LaunchAgents apontando para esse binário. O malware entregue é um information stealer em Mach-O distinto do AMOS Stealer (um dos infostealers mais conhecidos para macOS), com mecanismo próprio de persistência e exfiltração: ele solicita ao usuário, de forma progressiva, permissões de acesso ao Notes.app, pastas de documentos, biblioteca de fotos e Keychain, e exfiltra os dados coletados via requisições HTTP POST para endpoints como `/api/t` e `/api/credentials`, combinadas com tráfego websocket para o C2 em 95.163.153[.]80:8133.

Para quem faz resposta a incidentes, o caso oferece indicadores acionáveis bem definidos: domínio de distribuição (`hollow-badger-moasfraum[.]life`), IPs de estágio de download e C2, e hashes SHA-256 tanto do script shell quanto dos binários para ambas as arquiteturas. Isso permite bloqueio direto em proxy/DNS e criação de regras de detecção para IOCs de host, como a presença do plist de persistência em LaunchAgents e do binário no diretório de cache do securityd — um local que dificilmente teria um executável de terceiros em condições normais, o que o torna um bom candidato a regra de detecção de baixo falso-positivo.

O padrão ClickFix é significativo para forense e resposta a incidentes porque desloca a superfície de ataque para fora do binário malicioso propriamente dito: a infecção inicial depende inteiramente de engenharia social e da execução manual, consciente, de um comando pelo próprio usuário — o que tende a deixar rastros comportamentais e de histórico de shell (fish/zsh history, logs do Terminal.app) que um perito deve investigar tanto quanto o payload final. A crescente adoção de ClickFix contra macOS, historicamente menos visado que Windows por campanhas de infostealer em massa, também é um dado relevante para quem prioriza cobertura de detecção multiplataforma em ambientes corporativos com adoção significativa de Mac.