Ataque 'ClickFix' Mirado: Falsos Instaladores Codex Visam Usuários de macOS

A mais recente onda de ataques 'ClickFix' direcionados ao macOS revela uma sofisticação preocupante, usando resultados patrocinados no Google para enganar usuários. A tática começa quando a vítima busca termos como 'Codex' e é redirecionada para páginas falsas no Google Sites. Essas páginas, que simulam portais de download de ferramentas de desenvolvimento, incorporam iframes maliciosos que induzem o usuário a copiar e executar um comando no Terminal.

Uma vez ativado, o comando inicia uma cadeia de infecção complexa. Primeiro, ele decodifica URLs e busca shell loaders, que, em estágios seguintes, instalam payloads Mach-O de arquivos temporários. Para dificultar a detecção, o ataque inclui a remoção de atributos de quarentena (com xattr -c), um passo crítico que permite que o malware se execute sem alertas. Há uma forte sobreposição com o malware AMOS (Atomic macOS Stealer), conhecido por coletar credenciais e dados.

Esta campanha 'ClickFix' mostra uma evolução notável na tática dos atacantes. Anteriormente, alguns loaders maliciosos eram compactados e codificados em Base64, mas agora usam contêineres Gzip criptografados com AES. A reconstrução da chave de descriptografia a partir de múltiplas variáveis aumenta a dificuldade de análise. Além disso, as páginas de phishing agora empregam uma 'portaria' inteligente: elas só exibem o conteúdo malicioso se detectarem um dispositivo macOS e o caminho URL correto, burlando analistas e scanners automatizados. O CEVIU News já havia alertado em agosto de 2026 sobre ataques semelhantes com OpenAI Codex e em março de 2026 sobre a evolução de iscas abertas para alvos específicos de macOS.

Este ataque é um alerta urgente para empresas e usuários de macOS. Ele explora a confiança em serviços amplamente utilizados, como o Google Search e o Google Sites, e a reputação de marcas de desenvolvedores, como o OpenAI Codex. A técnica 'ClickFix' transfere a responsabilidade da execução para o usuário, tornando a detecção por soluções de segurança tradicionais mais desafiadora. A proliferação de malvertising e a constante rotação de infraestrutura por parte dos atacantes exigem que as organizações reforcem suas políticas de segurança, treinem usuários para identificar engenharia social e implementem camadas robustas de proteção de endpoint e rede.