Campanha Phexia visa macOS: Novo ataque de quatro estágios com roubo de credenciais

A campanha Phexia não é uma novidade isolada, é a evolução mais recente de um padrão operacional consolidado pelo APT28 no macOS, grupo ativo desde 2004 e ligado à GRU russa. Desde o Komplex em 2016 até o XAgentOSX em 2017, o grupo já havia demonstrado capacidade nativa de ataque ao sistema da Apple; agora, com Phexia, ele integra técnicas criminosas mainstream, como ClickFix, ofuscação base64 + osascript e C2 via Telegram, a um modus operandi de espionagem estatal. O que diferencia essa campanha é a combinação letal: um implante que reseta TCC para forçar novas caixas de permissão (não apenas rouba credenciais, mas as induz), executa loops de captura em tempo real e orquestra atualizações de domínios C2 por bot do Telegram, recurso típico de info-stealers comerciais como PXA Stealer, mas agora sob comando de um APT.

O uso de tccutil reset All não é só uma técnica de evasão: é um sinal claro de que o atacante prioriza acesso persistente a Keychain, micrófono, câmera e localização, dados críticos para espionagem contínua. E o fato de o payload ser colado manualmente no Terminal mostra que a defesa não pode depender apenas de EDR ou sandbox: o elo fraco continua sendo o usuário enganado por mensagens falsas de Cloudflare, atualizações de IA ou erros de 'verificação de segurança', táticas que se proliferaram desde o final de 2023 e hoje são padrão em mais de sete stealers ativos para macOS.

Empresas com equipes de TI, desenvolvimento e design usando Macs estão expostas a um risco sistêmico: o Phexia não exige vulnerabilidades zero-day, nem explorações remotas. Basta um clique, um copiar e colar no Terminal, e o malware já está na LaunchAgents, limpando permissões TCC e aguardando a próxima senha digitada. Isso torna ineficaz qualquer política de 'não executar código desconhecido' se não for acompanhada de treinamento técnico específico sobre ClickFix, detecção de prompts suspeitos e bloqueio proativo de infraestrutura como vdsina[.]com. Além disso, o uso de Telegram como canal C2 significa que o tráfego malicioso pode passar despercebido em redes que não inspecionam APIs externas, e o fato de o Phexia Stealer oferecer reverse shell e botnet indica que o objetivo vai além de roubo: é preparação para movimentação lateral e comprometimento contínuo.