Um novo malware focado em roubo de informação, batizado de ClickLock, está a infetar computadores da Apple ao encerrar todos os processos visíveis para forçar os utilizadores a introduzir a palavra-passe do sistema. Conforme revelou uma investigação recente da equipa da Group-IB, esta ameaça já afetou pelo menos 100 sistemas em 33 países desde o passado mês de maio.
A armadilha da verificação humana
O ataque começa normalmente através de técnicas de engenharia social conhecidas como ClickFix. A vítima é induzida a colar um comando malicioso no Terminal do macOS, desencadeando uma sequência falsa de "verificação humana" que imita a interface da Cloudflare. Enquanto surge uma barra de progresso animada no ecrã, a ameaça desativa os comandos do teclado, esconde o cursor e descarrega os módulos secundários em segundo plano.
Para garantir que a operação passa despercebida, o NotificationCenter do sistema é suprimido por cerca de seis horas. Isto impede a exibição de quaisquer alertas que pudessem denunciar a atividade suspeita ao utilizador.
Coação em ciclos de milissegundos
O grande trunfo do ClickLock não assenta em falhas de segurança complexas, mas sim na insistência psicológica. Numa primeira fase, exibe uma janela falsa de autenticação com o nome real do utilizador e um ícone legítimo da Apple. Se a vítima recusar introduzir os dados, o vírus assegura a persistência através de dois LaunchAgents que são carregados no arranque seguinte do equipamento.
A partir desse momento, o cenário torna-se agressivo. O vírus inicia um ciclo de encerramento que, a cada 210 milissegundos, fecha aplicações essenciais como o Finder, o Activity Monitor ou os navegadores web. Esta rotina mantém-se ativa durante 300.000 segundos — cerca de 83 horas — ou até que a palavra-passe correta seja fornecida.
Roubo em massa e acesso remoto
O segundo mecanismo de coação repete-se a cada 200 milissegundos e pode durar quase 35 dias (3 milhões de segundos). O objetivo é obter a chave de armazenamento seguro do Chrome para decifrar credenciais, cookies e dados de preenchimento automático guardados localmente. O módulo de recolha visa carteiras de criptomoedas, históricos de comandos e ficheiros de configuração de um total de oito navegadores de internet.
Toda a informação reunida é compactada num ficheiro ZIP e enviada para os atacantes através da API do Telegram. Se o ficheiro exceder os 40 MB, é automaticamente dividido em partes mais pequenas. Como cartada final, o ClickLock instala uma versão modificada da ferramenta de código aberto GSocket, criando uma porta traseira persistente para controlo remoto total.
Como proteger o teu equipamento
Os especialistas recomendam que nunca se copiem comandos para o Terminal cuja origem ou função não sejam totalmente compreendidas, independentemente do aspeto profissional do site. Se o teu ecrã congelar com um pedido teimoso de palavra-passe, a melhor solução passa por forçar o encerramento do computador no botão de energia física. Posteriormente, deves iniciar o sistema em Modo Seguro para proceder à remoção segura dos ficheiros maliciosos.
Nenhum comentário
Seja o primeiro!