Alerta Crítico: Nova Ameaça ao macOS Manipula TCC para Inserção Direta de Permissões e Espionagem de Dados Sensíveis

A recente descoberta de um cluster de malware AppleScript para macOS expõe uma técnica de evasão crítica que ataca diretamente o banco de dados TCC (Transparency, Consent, and Control). Este recurso de segurança do macOS gerencia permissões sensíveis, como acesso a pastas e dados de aplicativos. O malware, disfarçado de assistente de compatibilidade, entrega um arquivo '.scpt' que age como um backdoor, manipulando o TCC.db via sqlite. Ele concede a si mesmo acesso irrestrito a diretórios como Documentos, Downloads e Desktop, além de dados do Mail e Notes (categoria kTCCServiceSystemPolicyAppData).

A persistência é garantida por meio de um LaunchAgent, que permite ao malware coletar identificadores de hardware e nomes de arquivos. Em seguida, busca comandos adicionais de domínios C2 específicos. Embora o grupo de ameaças apresente sobreposições com o ator norte-coreano Sapphire Sleet, as evidências apontam para um subgrupo distinto. Para mitigar o risco, administradores devem atualizar sistemas para macOS Tahoe 26.4.1+ ou Sequoia 15.7.7+, monitorar encerramentos inesperados do processo 'tccd' e buscar por entradas sintéticas no TCC.db sem eventos correspondentes de 'tcc_modify' no Endpoint Security.

Este novo cluster de malware continua a empregar uma técnica de manipulação direta do TCC que a Apple já neutralizou. As versões mais recentes do macOS, como Tahoe 26.4.1+ e Sequoia 15.7.7+ (lançadas em abril e maio de 2026), contêm patches que impedem esta forma específica de bypass do TCC.db. A persistência do uso desta técnica pelos atacantes indica que o grupo ainda encontra sucesso em sistemas desatualizados. Além disso, a próxima versão, macOS 27 (Golden Gate), programada para setembro de 2026, promete frustrar ainda mais a manipulação direta do TCC, movendo o banco de dados de usuário para um caminho protegido por uma nova camada de autorização.

Esta ameaça é um lembrete contundente da sofisticação dos ataques direcionados ao macOS e da constante corrida armamentista entre defensores e atacantes. A capacidade de um malware manipular diretamente o banco de dados TCC é extremamente preocupante, pois anula as proteções de privacidade e acesso a dados que o sistema operacional se propõe a oferecer. Para empresas, isso significa um risco elevado de espionagem corporativa e roubo de dados sensíveis, mesmo em um ambiente macOS, tradicionalmente visto como mais seguro.

A persistência desta técnica em sistemas não atualizados reforça a importância crítica de uma política de patching agressiva e monitoramento proativo. Detectar entradas sintéticas no TCC.db e anomalias no processo 'tccd' se torna fundamental para identificar comprometimentos que burlam o consentimento do usuário. Isso exige uma postura defensiva robusta e equipes de segurança atualizadas com as táticas mais recentes dos adversários.