Site Falso do CleanMyMac Espalha SHub Stealer com Truque ClickFix no Terminal

O SHub Stealer não é só mais um stealer para macOS: ele representa uma escalada tática em ataques que ignoram por completo as camadas de proteção nativas da Apple. Ao usar o ClickFix via Terminal, e agora, com a variante Reaper, via applescript:// que aciona o Editor de Script com um clique, o malware contorna Gatekeeper, XProtect, notificações de execução e até verificações de assinatura de código. Isso não é falha técnica da Apple, mas exploração direta do comportamento humano: usuários confiam em comandos copiados de sites 'oficiais' e clicam em botões que parecem inócuos. O fato de o SHub se autodestruir ao detectar teclado russo não é um detalhe curioso, mas evidência operacional clara: é um artefato de desenvolvimento feito por atores com histórico em campanhas contra alvos ocidentais, como o Sofacy, que já atacou sistemas macOS desde 2017.

A persistência por LaunchAgent disfarçado de atualizador do Google (com.google.keystone.agent.plist) é particularmente perigosa porque passa despercebida em auditorias superficiais, muitos administradores de TI reconhecem o nome 'Google Keystone' como legítimo e não verificam o caminho real do arquivo. E o roubo vai além de senhas: o SHub extrai seed-phrases diretamente das interfaces gráficas das carteiras, usando prompts falsos de autenticação do sistema que imitam com precisão o diálogo do Keychain. Isso significa que, mesmo com Touch ID ou senha forte, o usuário está entregando sua chave mestra com um único clique ou colagem.

Empresas que adotam macOS em ambientes de desenvolvimento, finanças ou segurança estão expostas a um risco sistêmico: o SHub Stealer não exige privilégios elevados para funcionar, opera sem detecção em tempo real por muitos EDRs e pode comprometer toda a cadeia de assinatura de código interna, especialmente se desenvolvedores usarem chaves de API roubadas para publicar pacotes maliciosos em repositórios corporativos. Para governos e instituições regulatórias, esse tipo de ameaça testa os limites da Lei Geral de Proteção de Dados (LGPD), já que o malware coleta dados pessoais, financeiros e criptográficos sem consentimento, com capacidade de exportação em massa para servidores controlados fora do Brasil.