Cibercriminosos desenvolveram uma nova tática para atacar computadores da Apple e roubar informações confidenciais. Uma versão atualizada do programa espião “MacSync” passou a usar convites públicos do Calendário do iCloud para enviar ordens maliciosas aos aparelhos das vítimas.
A tática envolve esconder linhas de código dentro da descrição de eventos normais de agenda. Assim, os invasores conseguem driblar defesas do macOS e instalar arquivos sem levantar suspeitas. Até o momento, Apple e Anthropic, dona do assistente de inteligência artificial (IA) Claude também explorado em ofensivas semelhantes, não se pronunciaram publicamente sobre o caso.
O alerta partiu de um relatório técnico publicado, nesta quarta-feira (24), pela empresa de segurança Kaspersky. De acordo com a investigação, o grupo por trás do golpe reformulou totalmente as ferramentas para atingir principalmente profissionais de tecnologia e investidores do mercado de criptomoedas.
MacSync é uma família de ladrões de cripto e informações relativamente jovem e em rápida evolução. Os desenvolvedores dessa família reformularam sua abordagem para a entrega da carga maliciosa, substituindo instaladores baseados em scripts por versões binárias.
Sergey Puzan, pesquisador da Kaspersky e autor do relatório
Esquema criminoso
A porta de entrada do golpe costuma acontecer pela internet com táticas de persuasão. Os criminosos criam páginas falsas que oferecem aplicativos gratuitos ou versões adulteradas de programas conhecidos.
Em um dos casos identificados pela Kaspersky, os golpistas inventaram uma carteira virtual de criptomoedas chamada Toria. Ela contava com um site próprio e publicidade em redes sociais como X (antigo Twitter) e Telegram.
Ao baixar o suposto programa, a vítima recebe um instalador que busca instruções escondidas em um link do calendário online do iCloud, serviço em nuvem usado para sincronizar dados e compromissos entre aparelhos da marca. O sistema do Mac processa o texto e baixa um segundo arquivo, que finalmente descarrega o espião completo na máquina.
Histórico do malware
Além da distribuição por páginas clonadas, o MacSync tem histórico de uso em golpes de suporte técnico simulado. Especialistas da Moonlock, divisão de cibersegurança da MacPaw, revelaram que criminosos sequestraram contas empresariais legítimas de anúncios do Google para promover páginas falsas nos resultados de busca. O direcionamento levava quem procurava por ajuda técnica para publicações do Medium e para o recurso de artefatos públicos do assistente Claude, da Anthropic.
“E se um resultado patrocinado do Google para uma busca comum no macOS levasse a um malware? É o que está acontecendo agora, e mais de 15 mil pessoas já viram isso”, alertou a equipe do Moonlock Lab, em comunicado publicado no X. “Observamos variantes abusando de plataformas legítimas para a entrega da ameaça, com o mesmo invasor por trás de ambas.”
Nesses tutoriais fraudulentos, as instruções convencem a vítima a colar comandos no Terminal do Mac. Ao rodar a linha sugerida, o computador busca o instalador do MacSync e estabelece conexão com os servidores dos criminosos, camuflando o tráfego de rede como se fosse um navegador comum.
Quando se instala no dispositivo, o MacSync simula telas oficiais do sistema operacional para pedir a senha de administrador da vítima. Depois que a pessoa digita as credenciais, o software exibe uma notificação falsa de aplicativo corrompido e sugere enviar o arquivo para a lixeira, enquanto atua em segundo plano sem ser percebido.
Novas descobertas
Segundo o relatório da Kaspersky, o programa rastreia históricos de navegação, cookies, senhas salvas, arquivos do cofre de senhas do sistema (Keychain) e acessos a serviços em nuvem como Amazon Web Services e chaves de programação. O malware também extrai dados da pasta do aplicativo Telegram e busca pastas de carteiras virtuais instaladas no aparelho.
Outra novidade identificada é a presença de uma ferramenta de controle contínuo que se disfarça como o Finder, o gerenciador de arquivos padrão do Mac. Esse componente desativa os avisos visuais do sistema para que a vítima nunca perceba que novas rotinas foram configuradas para rodar toda vez que o computador for ligado. O recurso também abre espaço para que os criminosos executem ações futuras de forma remota, como a substituição de aplicativos legítimos por cópias adulteradas.
Para se proteger de ofensivas com o MacSync, a recomendação central dos especialistas é não copiar e executar linhas de comando desconhecidas no Terminal do Mac, ainda que encontradas em fóruns, guias de suporte ou conversas geradas por IA.
Segundo os analistas, deve-se evitar o download de arquivos instaladores a partir de páginas não oficiais e desconfiar de janelas que cobram a senha de administrador logo após a abertura de utilitários simples.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.