Operação FlutterBridge: campanha de malvertising no macOS distribui o novo backdoor FlutterShell

A Operação FlutterBridge não é um surto isolado, mas o estágio mais recente de uma cadeia criminosa ativa desde 2023 sob o rótulo CL-CRI-1089. Ela evoluiu diretamente do JSCoreRunner (FileRipple), detectado em agosto de 2025, e agora usa Flutter, uma estrutura normalmente associada a apps legítimos, para construir um backdoor que se disfarça como software útil: PodcastsLounge, PDF-Brain, PDF-Ninja. O truque técnico central é a ponte JavaScript-to-native via WebView: o binário assinado pela Apple carrega comandos dinâmicos de servidores C2, o que anula a eficácia da análise estática e permite atualizações em tempo real sem recompilação. Isso também explica por que nenhuma amostra foi detectada no VirusTotal: o payload malicioso só é resolvido após a execução, quando o app já está rodando.

O abuso da notarização da Apple aqui não é acidental nem novo. Em dezembro de 2025, o MacSync Stealer já havia sido distribuído com assinatura válida e notarização aprovada. O padrão se repete: os atacantes exploram o processo de desenvolvedor da Apple como canal de confiança, não como falha técnica. Eles não quebram o Gatekeeper, eles o enganam com credenciais legítimas e comportamento aparentemente inócuo. A campanha também opera com infraestrutura coordenada: três empresas de fachada registradas no Reino Unido e Ucrânia (AdsParkPro LTD, Advantage Web Marketing LLC e PACIFIC TRADE SOLUTIONS LTD) foram usadas para veicular centenas de anúncios verificados pelo Google, o mesmo modus operandi observado nas campanhas InstallFix (maio/2026) e LLMShare (junho/2026).

Em comparação com o JSCoreRunner de 2025, o FlutterShell representa uma mudança estratégica: trocou a execução direta de scripts JS por uma arquitetura híbrida Flutter-WebView, permitindo maior persistência e capacidade de exfiltração em escala. Enquanto o JSCoreRunner focava em adware e redirecionamento, o FlutterShell adicionou exfiltração de documentos sob pretexto de 'IA para resumo', integrando-se ao fluxo de trabalho do usuário. Também ampliou o alvo: antes limitado a Windows, agora ataca macOS com binários notarizados e funcionalidade plena, algo que a campanha TrapDoor (maio/2026) fez com pacotes npm/PyPI, mas não com apps nativos assinados.

Isso importa porque desmonta duas premissas de segurança corporativa: primeiro, que notarização da Apple equivale a segurança; segundo, que malware para macOS precisa parecer suspeito. O FlutterShell parece útil, funciona como prometido e passa por todas as verificações automáticas. Para equipes de segurança, isso significa que políticas baseadas apenas em hash ou assinatura digital são obsoletas. Monitoramento comportamental no Chrome (sequestro de buscas), análise de IOPlatformUUID para fingerprinting e inspeção de requisições a domínios C2 como atsheisdomestic[.]org são agora medidas operacionais obrigatórias, não opcionais. A campanha também mostra que ataques de malvertising não estão mais restritos a páginas de download: agora invadem o próprio ecossistema de anúncios verificados do Google, exigindo revisão de políticas de navegação segura e bloqueio proativo de domínios C2 conhecidos em nível de proxy ou EDR.