Colou um comando no Terminal do Mac? Pode estar a perder cripto sem dar por isso

Uma investigação publicada a 6 de agosto de 2026 pela empresa de deteção e resposta geridas Huntress descreve um novo malware para macOS, escrito na linguagem Go, que combina roubo de credenciais com uma capacidade pouco habitual: alterar transações de criptomoedas antes de estas serem assinadas, desviando apenas uma percentagem dos fundos para carteiras controladas pelos atacantes. A infeção não explorou qualquer vulnerabilidade da Apple — foi a própria vítima que colou um comando no Terminal, depois de cair num engodo do tipo ClickFix.

O que a Huntress encontrou (e como só descobriu meses depois)

A empresa explica que a deteção surgiu durante uma caça retrospetiva a ameaças em junho de 2026, quando um analista encontrou componentes de um stealer específico para Mac num sistema monitorizado que tinha sido infetado três meses antes, através de um esquema de engenharia social conhecido como ClickFix. Segundo a Huntress, o utilizador visado recebeu um e-mail com uma ligação para uma página que o instruía a executar um comando no Terminal.

Esse comando descarregou um script Bash que funcionava como perfilador e carregador: recolhia informação do sistema, como CPU e memória, e obtinha um binário Mach-O compatível com a arquitetura do processador da máquina. Depois, apagava o ficheiro temporário, limpava a janela do Terminal e removia o comando do histórico da shell. A limpeza de rasto explica, em parte, por que motivo a infeção passou despercebida durante meses.

Disfarce de processo legítimo da Apple

A escolha de nomes não é inocente. O componente carregador identificava o nome da conta com sessão iniciada e criava um diretório baptizado a partir do trustd, o processo do macOS responsável por validar certificados criptográficos e assinaturas de código; aí copiava o payload com o nome com.apple.verified e removia o atributo estendido com.apple.quarantine para evitar que o Gatekeeper mostrasse um alerta de segurança.

Na análise da Huntress, a sequência inclui a cópia do executável para $HOME/Library/Caches/com.apple.trustd/com.apple.verified, a atribuição de permissões de execução com chmod +x e a remoção do bit de quarentena com xattr -d. Os investigadores notam ainda que o curl é uma das poucas ferramentas de rede do macOS que não coloca o bit do Gatekeeper nos ficheiros que descarrega, pelo que esse passo seria, neste método de entrega, redundante.

Um drenador de carteiras que não esvazia tudo

A recolha de dados segue o guião habitual dos infostealers para Mac. Segundo a Huntress, são visadas as bases de dados de palavras-passe dos navegadores, o Apple Keychain e credenciais em cache nos cookies dos navegadores. O malware é ainda capaz de apresentar uma caixa de diálogo com aspeto nativo do macOS a pedir a palavra-passe, gerada com o osascript, uma ferramenta legítima de linha de comandos que produz elementos de interface familiares.

A parte verdadeiramente distintiva é outra. A Huntress identificou uma função designada DRAIN, que procura endereços de carteiras e consulta os respetivos saldos na blockchain associada, obtendo depois um endereço controlado pelo atacante para transferir a totalidade do saldo ou uma percentagem definida numa variável chamada DRAIN_PCT, com rotinas separadas para os formatos usados por Bitcoin, Litecoin, Dogecoin, Ethereum e XRP. Existem também referências a Monero, embora a análise publicada não tenha identificado uma rotina de drenagem correspondente.

O código altera as transações antes de estas serem assinadas e pode ser configurado para redirecionar apenas uma parte dos fundos; a Huntress afirma ser a primeira vez que analisa um drenador que não esvazia por completo as carteiras das vítimas, tendo observado funções específicas para calcular o valor correspondente a 1% do conteúdo da carteira consoante o tipo de criptomoeda. A lógica é evidente: pequenas subtrações repetidas são muito menos prováveis de gerar alarme do que um saldo a zero.

Infraestrutura sob sanções

A Huntress refere que o malware comunica com endereços IP partilhados no sistema autónomo AS210644, descrito como operado pelo Aeza Group, uma empresa russa. A gama de endereços que alojou o malware pertence a um fornecedor russo de alojamento à prova de bala sancionado pelos Estados Unidos e por outros países em 2025. Os Estados Unidos sancionaram o fornecedor a 1 de julho de 2025, por apoiar operações de ransomware, infostealers e outros crimes informáticos, e o Reino Unido impôs sanções próprias a 19 de novembro de 2025.

Cronologia conhecida

Não há CVE — há um clique

Não existe aqui identificador CVE nem pontuação CVSS a comunicar, e isso é precisamente o ponto. Apesar do roubo de credenciais, da personificação da Apple e da drenagem programável de criptomoedas, o malware continuou a depender de a vítima abrir o Terminal e executar o comando, porque não explorou qualquer vulnerabilidade do macOS. Um CAPTCHA legítimo nunca pede a ninguém para abrir o Terminal, o Editor de Scripts ou outro utilitário do sistema e executar um comando copiado de um site.

A Apple já reagiu a esta classe de ataques. No macOS 26.4 foram introduzidos avisos quando se tenta colar um comando no Terminal, e a empresa publicou posteriormente um documento de apoio a explicar quando surgem estas e outras janelas de alerta. A proteção, porém, tem limites conhecidos: o diálogo não é apresentado se o Terminal tiver sido aberto nos últimos 30 dias ou se estiverem instaladas ferramentas de programação na máquina. Campanhas ClickFix mais recentes passaram a usar o Editor de Scripts para contornar estas proteções, ao passo que o incidente investigado pela Huntress recorreu ao método mais antigo, com o Terminal.

Uma tendência, não um caso isolado

Este caso insere-se numa vaga sustentada de campanhas ClickFix contra utilizadores de Mac ao longo de 2026. A Microsoft descreveu campanhas que alojam comandos maliciosos em blogues e plataformas de conteúdos, sob o pretexto de resolver problemas do macOS, para instalar infostealers que recolhem ficheiros multimédia, dados do iCloud, entradas do Keychain e chaves de carteiras de criptomoedas. A Unit 42, da Palo Alto Networks, documentou uma variante em que uma página de CAPTCHA falso leva o utilizador a colar um comando que monta silenciosamente imagens de disco para instalar o Atomic macOS Stealer (AMOS). A Netskope, por seu lado, detalhou uma cadeia paralela que entrega um infostealer em AppleScript, desenhado para extrair bases de dados do keychain, credenciais e cookies de sessão de 12 navegadores, mais de 200 extensões e 16 carteiras autónomas.

O que fazer se suspeitar de infeção

• Trate o equipamento como comprometido e isole-o da rede antes de qualquer outra ação.
• Procure ficheiros e diretórios suspeitos em ~/Library/Caches/ com nomes que imitam processos do sistema, bem como LaunchAgents não reconhecidos.
• Mova os ativos em criptomoeda para carteiras novas, criadas num dispositivo comprovadamente limpo.
• Altere palavras-passe e revogue sessões e tokens a partir de outro equipamento, começando pelo e-mail e pelos gestores de palavras-passe.
• Ative autenticação multifator resistente a phishing nas contas críticas.

Quanto à remoção, a publicação da Huntress sublinha que apagar as cópias do binário instalado resolve o problema, uma vez que este não se reconstitui — ainda que isso não reverta qualquer drenagem já efetuada das carteiras.

Porque é que isto importa em Portugal

Em muitas PME portuguesas o Mac é o equipamento de eleição de sócios-gerentes, equipas criativas e programadores — perfis com acesso a contas bancárias, plataformas de gestão e credenciais de cloud. Um infostealer que capta o Keychain e cookies de sessão não rouba apenas palavras-passe: rouba sessões já autenticadas, o que pode permitir contornar a autenticação multifator baseada em código.

Do ponto de vista legal, o roubo de credenciais de trabalhadores ou de clientes constitui, em regra, uma violação de dados pessoais com obrigações de avaliação e eventual notificação à CNPD ao abrigo do RGPD. Para as entidades abrangidas pelo Regime Jurídico da Ciberseguranca (Decreto-Lei n.º 125/2025, que transpõe a NIS2), acrescem deveres de gestão de risco e de comunicação de incidentes significativos ao CNCS, além da necessidade de demonstrar medidas efetivas de sensibilização dos utilizadores — exatamente a camada que estes ataques atacam. Incidentes desta natureza podem ser reportados ao CERT.PT, que centraliza a resposta a incidentes em Portugal.

A recomendação operacional é simples e barata: incluir o ClickFix na formação de segurança, com uma regra memorizável — nenhum site, apoio técnico ou verificação de CAPTCHA legítimo pede para colar comandos no Terminal — e considerar a monitorização de execuções anómalas de curl, osascript e xattr nos endpoints macOS geridos.

Perguntas frequentes

O que é um ataque ClickFix?

É uma técnica de engenharia social em que a vítima é convencida, através de um falso CAPTCHA, de uma mensagem de erro ou de um guia falso, a copiar e colar um comando que instala malware. Não explora falhas de software: explora a confiança do utilizador.

O macOS não bloqueia estes comandos?

Bloqueia parcialmente. No macOS 26.4 a Apple introduziu avisos quando se tenta colar um comando no Terminal, mas o alerta tem condições de ativação e existem variantes que recorrem a outras aplicações do sistema para o contornar.

Como sei se a minha carteira foi drenada?

Verifique o histórico de transações na blockchain à procura de transferências não reconhecidas, incluindo montantes pequenos. Este malware pode desviar apenas uma percentagem do saldo, pelo que a ausência de um esvaziamento total não significa ausência de compromisso.

Basta apagar o ficheiro malicioso?

Segundo a Huntress, remover as cópias do binário resolve a infeção porque este não se reconstitui, mas não recupera fundos já transferidos. Deve ainda alterar todas as credenciais a partir de um dispositivo limpo.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Huntress, pela Microsoft, pela Unit 42 (Palo Alto Networks), pela Netskope e pela Apple.