Uma campanha maliciosa batizada de ClickFix está atacando usuários de Mac com mais de 250 domínios falsificados que imitam a identidade visual do GitHub e exibem selos falsos de “editor verificado”. O objetivo é convencer a vítima a executar comandos maliciosos no próprio Terminal do sistema — um método que contorna boa parte das defesas tradicionais de antivírus.
O diferencial técnico desta campanha é a detecção ativa de alvos reais. Antes de exibir o conteúdo malicioso, a página verifica automaticamente se o visitante é um usuário legítimo de Mac — analisando a string de plataforma do navegador, as dimensões da tela e sinais da GPU via WebGL. Pesquisadores de segurança e bots de varredura recebem uma página em branco; apenas alvos reais veem o golpe completo.
O mecanismo do ataque
O fluxo é deliberadamente simples para aumentar as chances de sucesso. A página falsa instrui o usuário a copiar um comando e colá-lo no Terminal do Mac. Esse comando, ao ser executado, baixa um infostealer — malware especializado em roubo silencioso de dados.
Os infostealers identificados na campanha incluem Macsync, Shub Stealer e Atomic Stealer. Uma vez instalados, eles coletam senhas salvas no navegador, credenciais do iCloud Keychain, dados de carteiras de criptomoedas e podem substituir aplicativos legítimos por versões comprometidas que continuam roubando informações após reinicializações.
A distribuição dos links maliciosos acontece principalmente em plataformas de conteúdo como Medium e Craft, onde artigos de “dicas” ou “tutoriais” orientam o leitor a visitar os domínios armadilha. Isso torna a detecção mais difícil porque os links vêm de plataformas com reputação estabelecida.
Produtos relacionados:
Oferta · AMAZON Apple MacBook Neo 13" — chip A16 Pro, 256 GB, Prateado Ver oferta → 
Oferta · AMAZON Apple MacBook Neo 13" — chip A16 Pro, 512 GB, Rosado Ver oferta →O que a Apple fez e o que ainda falta
A atualização macOS 26.4 trouxe uma resposta parcial: agora o sistema exibe um aviso ao usuário quando ele tenta colar texto copiado de um navegador diretamente no Terminal. O XProtect — sistema de detecção de malwares embutido no macOS — também recebeu reforços para identificar os infostealers conhecidos desta campanha.
Porém, alertas podem ser ignorados, especialmente quando uma página maliciosa bem construída instrui o usuário a clicar em “Permitir” ou “Continuar” como parte do suposto processo de instalação. A proteção mais robusta continua sendo comportamental: nunca executar comandos no Terminal que vieram de um site, independentemente do quanto a interface pareça oficial.
Para usuários que precisam instalar softwares de fontes externas, a recomendação é baixar arquivos diretamente do site oficial do desenvolvedor, verificar a assinatura digital do instalador e evitar instruções de instalação que passem pelo Terminal sem uma razão técnica clara.
