MacOS Python Infostealers
Especialistas em cibersegurança estão soando o alarme sobre a rápida expansão de ataques de roubo de informações, que vão além do Microsoft Windows e chegam também ao ecossistema macOS da Apple. Os agentes maliciosos estão cada vez mais utilizando linguagens multiplataforma, como Python, e abusando de serviços confiáveis e plataformas de publicidade para distribuir malware em larga escala, ampliando significativamente a superfície de ataque.
Índice
Engenharia social alimenta campanhas de roubo de informações no macOS
Desde o final de 2025, diversas campanhas têm como alvo usuários do macOS por meio de técnicas de engenharia social, principalmente o ClickFix. Essas operações distribuem instaladores maliciosos de imagem de disco (DMG) que implantam famílias conhecidas de ladrões de informações do macOS, incluindo Atomic macOS Stealer (AMOS), MacSync e DigitStealer. A distribuição geralmente depende de convencer os usuários a iniciarem manualmente o processo de infecção.
Abuso de recursos nativos do macOS e roubo furtivo de dados
Uma vez executadas, essas ameaças frequentemente utilizam técnicas sem arquivos, utilitários nativos do macOS e automação com AppleScript para evitar a detecção e agilizar a coleta de dados. As informações roubadas geralmente incluem credenciais e dados de sessão armazenados no navegador, entradas confidenciais do iCloud Keychain e segredos relacionados a desenvolvedores que podem permitir novas invasões.
Malvertising como vetor de acesso inicial
Muitas dessas cadeias de ataque começam com anúncios maliciosos, frequentemente veiculados pelo Google Ads. Usuários que buscam softwares legítimos, como utilitários da DynamicLake ou ferramentas de inteligência artificial, são redirecionados para sites falsificados. Esses sites utilizam iscas do ClickFix que instruem as vítimas a seguir comandos de copiar e colar ou instruções do instalador, resultando na instalação acidental de malware.
Ladrões de Python possibilitam rápida adaptação
Os programas de roubo de informações baseados em Python são particularmente atraentes para atacantes devido à sua flexibilidade e facilidade de reutilização em diferentes sistemas operacionais. Essas ameaças são comumente distribuídas por meio de e-mails de phishing e são projetadas para coletar uma ampla gama de dados confidenciais, incluindo:
Credenciais de login, cookies de sessão, tokens de autenticação, dados de cartão de crédito e dados de carteira de criptomoedas.
PXA Stealer e abuso de aplicativos de mensagens
Um exemplo notável é o PXA Stealer, atribuído a agentes de ameaças de língua vietnamita. Campanhas documentadas de outubro e dezembro de 2025 utilizaram e-mails de phishing para acesso inicial e exploraram chaves de execução do registro ou tarefas agendadas para manter a persistência. O Telegram foi usado para comunicações de comando e controle e exfiltração de dados. Além disso, agentes de ameaças também utilizaram plataformas de mensagens populares, como o WhatsApp, para distribuir malware como o Eternidade Stealer, visando contas financeiras e de criptomoedas, uma campanha divulgada publicamente em novembro de 2025.
Envenenamento de SEO e software falso no Windows
A atividade de roubo de informações não se limita ao macOS. Campanhas paralelas têm usado editores de PDF falsos, como o Crystal PDF, promovidos por meio de publicidade maliciosa e manipulação de mecanismos de busca. Esses ataques focados no Windows implantam programas de roubo de credenciais capazes de extrair silenciosamente cookies, informações de sessão e credenciais armazenadas em cache do Mozilla Firefox e do Google Chrome.
Medidas defensivas contra operações de roubo de informações
Para reduzir a exposição a ameaças de roubo de informações, as organizações são incentivadas a implementar defesas em camadas e iniciativas de conscientização do usuário, incluindo:
- Treinar usuários para reconhecer cadeias de redirecionamento de malvertising, instaladores fraudulentos e avisos no estilo ClickFix.
- Monitoramento de atividades incomuns no Terminal, acesso não autorizado ao iCloud Keychain e solicitações POST de saída suspeitas para domínios recém-registrados ou anômalos.
Impacto nos negócios da violação de privacidade por roubo de informações
Infecções bem-sucedidas por malware de roubo de informações podem ter consequências de longo alcance. Credenciais e dados de sessão roubados podem possibilitar violações de dados, acesso não autorizado a sistemas internos, comprometimento de e-mails corporativos, intrusões na cadeia de suprimentos e ataques subsequentes, como implantações de ransomware. A detecção proativa e a educação continuam sendo cruciais para limitar esses riscos.
