MacOS 27 Reforça Segurança de Dados de Aplicativos com Nova Proteção em 'Application Support'

A Apple, no macOS 27, elevou o patamar de defesa contra roubo de credenciais com uma nova camada de segurança. A proteção, detalhada pelo pesquisador Wojciech Reguła, estende o atributo de sistema com.apple.macl para uma lista específica de aplicativos que não utilizam sandboxing, mas que gerenciam dados sensíveis. Isso inclui navegadores como Chrome, Brave, Edge, Firefox, além do Discord e carteiras de criptomoedas como Ledger Live, Exodus e Wasabi.

Este mecanismo impede que processos não autorizados consigam gravar ou ler pastas cruciais em ~/Library/Application Support desses aplicativos, simulando a mensagem "Operation not permitted". A defesa é gerenciada pelo kernel MACL, sob o serviço kTCCServiceSystemPolicyAppDataDetailed, e é atualizável via XProtect. É uma resposta direta a um cenário onde malwares, como o PamStealer e o CrashStealer (noticiados pelo CEVIU em 11 e 14 de julho de 2026, respectivamente), buscam precisamente esse tipo de dados.

A principal mudança é a expansão do xattr com.apple.macl. Antes, essa proteção era quase exclusiva para os diretórios de dados de aplicativos sandboxed (~/Library/Containers). Agora, ela abrange seletivamente pastas de Application Support de aplicações não sandboxed, algo inédito. O que era um controle para aplicativos encapsulados se tornou uma barreira contra acessos indevidos a dados de navegadores e carteiras digitais, mesmo para caminhos de aplicativos desinstalados.

Além disso, a forma como a Apple gerencia essa proteção também evoluiu. A lista de apps protegidos, inicialmente embutida no /usr/libexec/sandboxd, agora pode ser atualizada em tempo real via XProtect, como mencionado na matéria do CEVIU de 16 de julho de 2026 sobre as atualizações do XProtect. Isso permite uma resposta mais ágil contra novas ameaças, sem a necessidade de uma atualização completa do sistema operacional.

Esta nova proteção do macOS 27 é um reforço crítico na segurança do usuário, especialmente contra infostealers. Ao blindar os diretórios de Application Support de softwares como navegadores e carteiras de cripto, a Apple dificulta um dos principais alvos de ataques modernos: as credenciais e dados financeiros. Isso reduz o risco de exfiltração de informações mesmo que um invasor consiga algum nível de acesso ao sistema, mas sem privilégios de disco total.

Para desenvolvedores e empresas, a mudança impõe a necessidade de revisar como seus aplicativos interagem com diretórios sensíveis. Para o usuário final, é uma camada extra de tranquilidade, sabendo que informações cruciais estão mais seguras contra ataques que visam roubar dados de sessões e carteiras digitais.