Uma campanha de engenharia social detetada nos dias seguintes às conferências Black Hat e DEF CON transformou um simples documento partilhado no Google Docs num mecanismo de infeção. O alvo não foi o utilizador comum: foram profissionais de cibersegurança que tinham acabado de regressar de Las Vegas. Segundo a investigação publicada pela Huntress, o atacante fez-se passar por um responsável de marketing de um conhecido site de notícias de criptomoedas, abordou participantes na rede social X e usou um documento aparentemente legítimo para levar as vítimas a instalar malware distinto consoante o sistema operativo — infostealer em macOS, ferramenta de acesso remoto e implante de carteira de criptomoedas em Windows.
Resposta rápida: Um agente malicioso que se apresentava como executivo de um site de criptomoedas contactou participantes da Black Hat e da DEF CON e partilhou um Google Docs com um script associado que pedia uma “chave” e depois exibia instruções para descarregar e executar código. Em macOS o resultado era um infostealer da família AMOS; em Windows, o NetSupport RAT, um implante dirigido a carteiras Ledger e um proxy de interceção de tráfego. A recomendação prática é simples: desconfie de qualquer documento partilhado por desconhecidos que exija colar comandos no terminal, introduzir a palavra-passe do dispositivo ou contornar o Gatekeeper.
Um convite falso para uma conferência que nunca existiu
O ponto de partida foi banal: uma mensagem direta. Depois da Black Hat e da DEF CON, um investigador da Huntress foi contactado por um agente de ameaça que usou mensagens diretas no X e o pretexto do planeamento de uma conferência de segurança para criar confiança antes de tentar instalar malware; o investigador reconheceu o esquema, não caiu, mas continuou a conversa para perceber melhor as técnicas usadas.
A conta, com o identificador “@HartmansDoeke”, afirmava representar a direção de marketing da CoinDesk e respondia publicamente a vários utilizadores que tinham estado na Black Hat ou na DEF CON, propondo estabelecer contacto; alegava estar a organizar um evento e enviou um documento Google apresentado como plano de planeamento da conferência. A abordagem foi feita em escala, com texto praticamente padronizado nas respostas no X, e o agente chegou a publicar conteúdos para dar aparência de legitimidade à conta.
Quando um documento partilhado deixa de ser texto inerte
O elemento que distingue esta campanha é o abuso do Google Apps Script. Quando o documento era aberto por um utilizador autenticado na Google, era apresentada uma barra lateral personalizada gerada por um Apps Script; o documento pedia a introdução de uma “chave de encriptação” fornecida pelo atacante nas mensagens diretas, que aparentava falhar, e a barra lateral oferecia depois duas opções: instruções ao estilo ClickFix e um botão de download, ambos destinados a descarregar e executar código malicioso.
Introduzida a chave, surgia um erro acompanhado de instruções específicas para cada sistema operativo para descarregar uma alegada “atualização”; em macOS, o comando destinado ao Terminal estava mal configurado, apontando para localhost e resultando num ciclo de redirecionamentos, enquanto o botão de download conduzia a uma página de releases no GitHub que alojava uma imagem de disco maliciosa chamada GAPIUpdate.dmg, com instruções de “configuração” que levavam o utilizador a contornar o Gatekeeper introduzindo a palavra-passe de administrador; seguindo esses passos, executava-se malware que a Huntress descreve como “altamente consistente” com o Atomic macOS Stealer (AMOS), recolhendo palavras-passe e cookies de browsers, dados de carteiras de criptomoedas, conteúdo do keychain e ficheiros do Telegram.
Este ponto é o que mais deve preocupar equipas de segurança: a Huntress observa que o recurso a aplicações web de Google Apps Script e a documentos Google não é novo e escapa frequentemente à deteção por assentar em domínios legítimos da Google, sublinhando que um documento partilhado por um desconhecido pode ser conteúdo executável e não texto inerte.
Segundo ato: o falso instalador do DocSend
A insistência é outra marca desta operação. Como o investigador não caiu no primeiro documento, o agente voltou à carga no dia seguinte com um segundo ficheiro, disfarçado de partilha Dropbox DocSend, que conduzia a um instalador falso do DocSend responsável por entregar o AMOS a utilizadores de macOS e o NetSupport RAT, um implante para carteiras Ledger e um proxy de interceção de tráfego a utilizadores de Windows. O link falso encaminhava a vítima para instalar a “versão desktop” do DocSend a partir do domínio typosquatted docsend[.]online; o ficheiro servido a macOS continha o mesmo payload AMOS distribuído pelo Google Docs, e os payloads Windows já tinham sido removidos do endpoint original de download no momento da análise.
Grandes eventos da indústria como a Black Hat e a DEF CON criam um ambiente propício para atacantes, com participantes a trocar contactos, documentos, convites e planos de seguimento — precisamente o contexto que torna credível um “documento de planeamento” enviado por um suposto executivo do setor. O que tornou esta campanha mais credível foi o uso de um documento Google legítimo e de uma funcionalidade da própria Google, algo que também se repete noutras campanhas que exploram infraestrutura de confiança para não levantar suspeitas.
Cronologia da campanha
| Fase | O que aconteceu |
|---|---|
| 1. Contacto | Respostas públicas e mensagens diretas no X a participantes da Black Hat e da DEF CON, feitas por conta que alegava representar a CoinDesk |
| 2. Pretexto | Alegado planeamento de uma nova conferência; partilha de um “documento de planeamento” no Google Docs |
| 3. Isco técnico | Barra lateral gerada por Google Apps Script pede uma “chave” ao utilizador autenticado; a chave falha propositadamente |
| 4. Execução | Instruções ClickFix para o Terminal/PowerShell ou botão de download de uma alegada atualização |
| 5. Payload macOS | GAPIUpdate.dmg alojado em GitHub Releases; bypass do Gatekeeper com palavra-passe de administrador; infostealer consistente com AMOS |
| 6. Segunda tentativa | No dia seguinte, isco de partilha DocSend falsa e instalador falso a partir de docsend[.]online |
| 7. Payloads Windows | NetSupport RAT, implante dirigido a carteiras Ledger e proxy de interceção de tráfego |
Indicadores e sinais de alerta
| Tipo | Indicador |
|---|---|
| Domínio | docsend[.]online (typosquatting de serviço legítimo de partilha de documentos) |
| Ficheiro macOS | GAPIUpdate.dmg, distribuído via página de releases no GitHub |
| Comportamento macOS | Instruções para contornar o Gatekeeper e introduzir a palavra-passe de administrador |
| Persistência Windows | Entrada Run a apontar para MsBuild sem argumentos nem ficheiro de projeto (mecanismo defeituoso) |
| Rede | Implante que consulta um URL remoto em intervalos irregulares; durante a análise as respostas do servidor vieram vazias |
| Social | Conta no X que alegava cargo de direção de marketing na CoinDesk, com respostas padronizadas a participantes de conferências |
Sobre os detalhes técnicos do lado Windows, a análise indica que o implante consulta um URL remoto em intervalos irregulares, mas o servidor devolveu respostas vazias nas 18 consultas observadas, e que o mecanismo de persistência estava defeituoso, com a entrada Run a apontar para o MsBuild sem argumentos nem ficheiro de projeto. Estas falhas de execução não devem ser lidas como sinal de inofensividade: o desenho social do ataque funcionou o suficiente para chegar a caixas de entrada de profissionais experientes, e a componente frágil é a que se corrige mais depressa numa próxima iteração.
Mitigação: o que fazer se recebeu um convite destes
A recomendação da Huntress é clara para quem regressa de conferências: atenção a mensagens de aparência legítima que conduzem a um documento ou instalador e que pedem ações que os controlos de segurança normalmente impediriam, sendo que pedidos inesperados para executar comandos no terminal, contornar o Gatekeeper, instalar uma atualização manual ou introduzir a palavra-passe do dispositivo são fortes indicadores de tentativa de compromisso.
- Nunca colar comandos no Terminal ou no PowerShell a pedido de terceiros, mesmo que a origem seja um documento em domínio da Google.
- Tratar convites pós-evento, propostas de parceria e “documentos de planeamento” como vetor de risco elevado, validando a identidade por um canal independente.
- Isolar atividades sensíveis de investigação e teste em máquinas virtuais ou dispositivos separados do trabalho quotidiano.
- Em caso de interação com o isco, rodar credenciais, revogar sessões e tokens, verificar extensões de browser e carteiras de criptomoedas e analisar chaves de arranque automático.
- Monitorizar ligações a serviços de partilha de ficheiros pouco habituais e a domínios semelhantes a marcas conhecidas.
Porque é que isto importa em Portugal
O padrão descrito não é exótico nem distante. No boletim do Observatório de Cibersegurança de junho de 2026, o CNCS destaca o predomínio de técnicas de engenharia social, com relevo para a técnica ClickFix, e recorda que, de acordo com o Relatório Anual de Segurança Interna de 2025, os infostealers representaram 94% de todas as variantes detetadas pelo CERT.PT nesse ano. Ou seja, o objetivo mais comum dos ataques que chegam a organizações portuguesas é exatamente o desta campanha: roubar credenciais, cookies de sessão e dados de carteiras digitais.
Para empresas e entidades públicas, há ainda o enquadramento legal. O Regime Jurídico da Ciberseguranca (Decreto-Lei n.º 125/2025, que transpõe a NIS2) impõe às entidades abrangidas deveres de gestão de risco, formação e notificação de incidentes ao CNCS/CERT.PT — e um roubo de credenciais a um colaborador com acessos privilegiados é, muitas vezes, o primeiro passo de um incidente notificável. Se do compromisso resultar acesso indevido a dados pessoais, aplica-se o RGPD, com a obrigação de avaliar a violação e, quando exigível, notificar a CNPD no prazo de 72 horas.
Para PME sem equipa dedicada, a lição operacional é de baixo custo: bloquear a execução de comandos colados por utilizadores sem justificação, formar as equipas comerciais e técnicas para o padrão ClickFix e assumir que a confiança visual num domínio conhecido — Google, Dropbox, GitHub — deixou de ser um critério de segurança válido.
Perguntas frequentes
O Google Docs foi comprometido nesta campanha?
Não. Não há indicação de qualquer falha na plataforma. O atacante usou uma funcionalidade legítima, o Google Apps Script, para acrescentar uma barra lateral ao documento e, a partir daí, apresentar instruções e ligações de download maliciosas ao utilizador autenticado.
Que malware foi distribuído?
Em macOS, um infostealer descrito como altamente consistente com a família AMOS, capaz de recolher palavras-passe e cookies de browsers, dados de carteiras de criptomoedas, keychain e ficheiros do Telegram. Em Windows, o NetSupport RAT, um implante dirigido a carteiras Ledger e um proxy de interceção de tráfego.
Como identificar um isco ClickFix?
O sinal decisivo é o pedido para o utilizador executar manualmente algo que o sistema normalmente bloquearia: colar um comando no Terminal ou PowerShell, contornar o Gatekeeper, instalar uma atualização manual ou introduzir a palavra-passe do dispositivo para “resolver” um erro.
Uma empresa portuguesa tem de notificar um incidente destes?
Depende do enquadramento. Entidades abrangidas pelo Decreto-Lei n.º 125/2025 têm deveres de notificação de incidentes significativos ao CNCS/CERT.PT. Se houver acesso indevido a dados pessoais, o RGPD pode obrigar à notificação da CNPD no prazo de 72 horas e, em casos de risco elevado, à comunicação aos titulares.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Huntress, por cobertura especializada da campanha e por documentação do CNCS/CERT.PT.