O ClickFix consolidou-se como o método principal para infetar computadores Mac. Analisamos as novas táticas de persistência e evasão de segurança em 2026.
A evolução das ameaças no ecossistema Mac
A análise trimestral do panorama de ameaças ao macOS revela que, embora não existam vulnerabilidades inéditas no sistema operativo, as técnicas de engenharia social continuam a evoluir. O ClickFix, que surgiu como uma técnica emergente, é agora o método predefinido utilizado na maioria dos novos stealers (roubo de dados) para Mac.
Segundo a análise publicada pela 9to5Mac, os atacantes estão a tornar-se mais sofisticados, implementando persistência, backdoors e infraestruturas que se camuflam nos serviços legítimos da Apple para evitar a deteção.
Como funciona o ataque
O sucesso do ClickFix reside na sua capacidade de contornar mecanismos de defesa como o Gatekeeper e o XProtect, não por falha técnica, mas por coerção do utilizador. O processo envolve:
- Engenharia Social: Páginas falsas de CAPTCHA ou de "correção" de erros que levam a vítima a copiar e colar comandos no Terminal.
- Execução pelo utilizador: Ao executar o script manualmente, o utilizador contorna as proteções nativas do macOS.
- Persistência: Malware moderno, como o ClickLock ou variantes do MacSync, não se limita a roubar dados uma única vez; instala módulos de backdoor para acessos futuros.
Evasão e camuflagem
Os atacantes estão a aprender a mimetizar processos legítimos. O MacSync, por exemplo, utiliza calendários públicos do iCloud para receber comandos, fazendo com que o tráfego de rede pareça uma comunicação legítima com a Apple. Outro exemplo, o CrashStealer, disfarça-se como o framework de relatórios de erro da Apple, permitindo que o malware passe despercebido pelos sistemas de segurança.
Recomendações de segurança
Para os utilizadores e administradores de sistemas, a recomendação é clara:
- Manter o sistema operativo atualizado (iOS 27/26.7 ou macOS Golden Gate/Tahoe 26.7).
- Desativar a Partilha de Ecrã caso não seja necessária.
- Regra de ouro: Nunca colar comandos no Terminal fornecidos por sites ou alertas pop-up.
Para equipas de segurança, a monitorização deve focar-se em processos como Terminal, Script Editor ou osascript iniciados a partir de navegadores, especialmente quando combinados com comandos curl ou base64.
Fontes
Antes de comprares, compara no AHT Scan
Vê preços em várias lojas, promoções e histórico observado num único lugar.
Gemini Live chega ao Apple CarPlay: o que muda para os condutores em Portugal
Apple TV adiciona interpretação em língua gestual: o que muda para os utilizadores
Apple Arcade: alinhamento de fim de ano traz Football Manager e Prince of Persia