O anúncio mostrava claude.ai — e instalava um ladrão de credenciais no seu Mac

Uma campanha de malvertising ativa há meses está a usar anúncios pagos do Google para levar utilizadores de macOS a instalarem, pelas suas próprias mãos, um infostealer chamado MacSync. O engodo é particularmente eficaz por uma razão simples: o anúncio aponta para o domínio verdadeiro claude.ai, e a página de instruções está alojada dentro da funcionalidade legítima de partilha de conversas do Claude. Não há domínio falso para desconfiar, nem vulnerabilidade explorada — só a confiança do utilizador no primeiro resultado da pesquisa.

Um anúncio que mostra o domínio certo

O esquema começa numa pesquisa banal. Um utilizador procura ajuda para instalar o Claude Code, a ferramenta de linha de comandos da Anthropic, e clica num resultado patrocinado. O anúncio exibe o domínio legítimo do serviço, pelo que não há o sinal de alerta habitual: nas campanhas clássicas de malvertising, o URL de destino é um domínio parecido mas falso, e é isso que costuma denunciar a fraude.

Depois do clique, a vítima chega a uma página de partilha genuína do claude.ai — uma conversa tornada pública pelos próprios atacantes — apresentada como um guia oficial de instalação do «Claude Code no Mac». Para reforçar a credibilidade, os autores definiram o nome de exibição da conta como «Apple Support», o que faz a página surgir como se tivesse sido partilhada pelo suporte da Apple.

A campanha foi inicialmente sinalizada por Berk Albayrak, engenheiro de segurança do Trendyol Group. O BleepingComputer confirmou de forma independente uma segunda conversa partilhada a executar o mesmo ataque, com infraestrutura e payload distintos mas engenharia social idêntica — sinal de que não se tratava de um caso isolado.

O que a investigação documentou

A equipa de threat hunting da Zscaler analisou a operação, que batizou de «ClaudeFix», e documentou atividade entre 12 e 19 de junho de 2026, com 22 identificadores distintos de campanhas do Google Ads e sete termos de pesquisa relacionados com o Claude — incluindo uma variante em chinês. Segundo a Zscaler, o mesmo agente por trás do MacSync mudou de método de distribuição: abandonou as aplicações «cracked» a favor da técnica ClickFix, que já dominava o cenário de malware para macOS.

A infraestrutura maliciosa escondia-se atrás de domínios com nomes de negócios locais norte-americanos comuns — empresas de pavimentos, clínicas, serviços domésticos — precisamente para não levantar suspeitas em análises automáticas.

Um relatório mais recente, da Deriv AI, divulgado a 27 de julho, indica que a campanha continua ativa e detalha a ofuscação: o comando apresentado no guia não mostra o servidor de destino, que só é revelado quando o comando é executado, através de texto codificado em Base64 e substituição de comandos da shell. O comando descodificado contacta infraestrutura sem relação com o fabricante do software e desativa a validação de certificados.

A Moonlock Lab identificou ainda um agravante: em alguns casos, os anúncios foram servidos a partir de contas Google Ads comprometidas de organizações terceiras, entre elas uma instituição de solidariedade canadiana e um retalhista colombiano. A mesma equipa refere que um dos artefactos usados como engodo foi visualizado mais de 15.600 vezes — um número que mede visualizações da página, e não infeções confirmadas.

O que o MacSync rouba

O MacSync é um infostealer focado em macOS com um alcance amplo. Segundo os relatórios, recolhe conteúdos do Keychain, palavras-passe guardadas no navegador, cookies de sessão, chaves SSH, credenciais de ambientes cloud, configurações de Kubernetes e tokens de desenvolvimento. Visa também sessões do Telegram Desktop e mais de 80 carteiras de criptomoedas.

Dois detalhes merecem atenção particular. O primeiro: os cookies de sessão roubados permitem assumir contas já autenticadas sem passar pela autenticação multifator, porque a sessão já está validada. O segundo: os investigadores observaram modificações à aplicação Ledger Live, o que significa que remover o infostealer pode deixar para trás uma aplicação de carteira comprometida.

A persistência é obtida através de um LaunchAgent que imita o atualizador Keystone da Google, deixando também ficheiros temporários de preparação no sistema.

Para quem trabalha em desenvolvimento, o impacto raramente fica no portátil. O acesso a repositórios de código, ambientes de cloud, contas de publicação de pacotes e sistemas de deployment pode ficar exposto — transformando o comprometimento de uma máquina num problema de cadeia de fornecimento.

Porque é que este vetor é difícil de travar

Este ataque não depende de uma falha do navegador, de um email de phishing ou de um site do fabricante invadido. Depende de três coisas legítimas usadas em conjunto: publicidade paga num motor de busca, uma funcionalidade real de partilha de conteúdos e o hábito de seguir o primeiro resultado.

Isso também explica por que razão remover um anúncio ou uma página não encerra a operação: os atacantes rodavam vários engodos sob a mesma campanha publicitária, pelo que a remoção de um deles deixa os restantes em funcionamento.

Vale sublinhar, para evitar leituras erradas: não está em causa qualquer vulnerabilidade do Claude nem um compromisso de sistemas da Anthropic. O que está a ser explorado é a reputação da marca e uma funcionalidade de partilha que funciona como projetada. É o mesmo padrão que a técnica ClickFix já vinha a usar no macOS com falsas verificações CAPTCHA, agora aplicado a ferramentas de desenvolvimento com IA.

Como se proteger

• Instalar ferramentas de desenvolvimento apenas a partir da documentação oficial do fabricante, escrevendo o endereço diretamente — nunca através de resultados patrocinados.
• Nunca colar no Terminal um comando cuja origem e destino não sejam totalmente compreendidos, mesmo que a página pareça oficial.
• Desconfiar de comandos que incluam texto codificado, que desativem a verificação de certificados ou que contactem domínios sem relação com o produto.
• Considerar o uso de bloqueadores de anúncios em ambientes de trabalho, reduzindo a exposição a resultados patrocinados maliciosos.
• Nas organizações, monitorizar a criação de LaunchAgents inesperados e a execução de shell a partir de processos de navegador.

Se o comando foi executado, os investigadores recomendam tratar o caso como compromisso total do dispositivo e das credenciais: isolar imediatamente o Mac afetado e não o usar para as ações de recuperação. A partir de um equipamento limpo, rodar palavras-passe e chaves, revogar sessões de navegador e de desenvolvimento, revisar atividade em repositórios e CI/CD, transferir criptomoedas para uma carteira nova e reinstalar o sistema. Uma limpeza por antivírus não é suficiente.

Indicadores de compromisso

Indicadores publicados pelos investigadores, úteis para equipas de segurança. Os domínios estão desativados (defanged) para evitar resolução acidental.

Porque importa em Portugal

O alvo desta campanha são profissionais de tecnologia — precisamente quem detém as credenciais de maior valor numa organização. Para empresas portuguesas, o roubo de dados de autenticação que dão acesso a informação pessoal pode constituir uma violação de dados nos termos do RGPD, com o dever de notificação à CNPD a correr desde o momento do conhecimento.

Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2), um comprometimento de credenciais de desenvolvimento toca diretamente nas obrigações de gestão de risco e de segurança da cadeia de fornecimento. O CNCS e o CERT.PT têm insistido na formação de utilizadores contra engenharia social e no controlo rigoroso de acessos privilegiados — dois pontos exatamente no centro deste vetor de ataque.

Perguntas frequentes

O Claude ou a Anthropic foram comprometidos neste ataque?

Não. Não existe qualquer vulnerabilidade do Claude nem indícios de compromisso de sistemas da Anthropic. Os atacantes usaram a funcionalidade legítima de partilha de conversas do claude.ai para alojar instruções maliciosas, e definiram o nome de exibição da conta como «Apple Support» para parecerem credíveis. O que é explorado é a confiança na marca e no domínio, não uma falha técnica.

Como é que o anúncio pode mostrar claude.ai se é malicioso?

Porque o destino é realmente uma página do claude.ai — uma conversa partilhada publicamente pelos atacantes. Ao contrário das campanhas de malvertising habituais, que usam domínios parecidos mas falsos, aqui não há URL suspeito para detetar. Em alguns casos os anúncios foram servidos a partir de contas Google Ads comprometidas de organizações terceiras.

Ter autenticação multifator ativa protege-me?

Não sozinha. O MacSync rouba cookies de sessão de contas já autenticadas, o que permite aos atacantes assumir essas sessões sem voltar a passar pelo segundo fator. É por isso que, após uma infeção, é essencial revogar as sessões ativas e não apenas alterar as palavras-passe.

Se executei o comando, basta correr um antivírus?

Não. Os investigadores recomendam tratar o caso como compromisso total do dispositivo e das credenciais. Deve isolar o Mac, fazer a recuperação a partir de outro equipamento limpo — rodando chaves, revogando sessões e movendo criptomoedas para uma carteira nova — e reinstalar o sistema. Foram observadas modificações a aplicações de carteira, que podem persistir depois de o malware ser removido.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Zscaler, pela Deriv AI, pela Moonlock Lab, pelo BleepingComputer e pelo investigador Berk Albayrak.