O que você vai ler nesse artigo?
- Empresa goiana identificou um malware que se disfarça de atualização do XProtect, o antimalware nativo do macOS.
- O ataque instala um falso Google Keystone que funciona como backdoor e dá controle remoto do Mac aos criminosos.
- A descoberta veio de rotinas de Cyber Threat Intelligence (CTI) e Threat Hunting no SOC da Accerte.
- Os indicadores de comprometimento (IoCs) foram compartilhados com Apple, AlienVault OTX e VirusTotal.
- Nenhum sistema é imune: usuários e empresas precisam de monitoramento e atualização contínuos.
Nenhum sistema operacional está imune a ameaças, e a descoberta apresentada aqui reforça essa realidade. A equipe de cibersegurança da Accerte identificou e analisou uma nova campanha de malware no macOS, um ambiente historicamente visto como menos exposto a ataques. O caso mostra que os criminosos estão mirando os computadores Mac com técnicas cada vez mais sofisticadas.
A campanha se passa por uma atualização legítima do XProtect, o mecanismo de proteção nativo da Apple, para induzir a vítima a executar comandos maliciosos. Em seguida, o ataque instala um falso Google Keystone, o componente responsável pelo Google Update, que se camufla como uma parte confiável do sistema operacional. Na prática, esse componente falso funciona como um backdoor, ou porta dos fundos, que dá aos criminosos controle do dispositivo à distância.
O que é o falso XProtect e como o ataque funciona
O XProtect é a ferramenta antimalware embutida no macOS. Ao imitar uma atualização desse mecanismo, o ataque explora justamente a confiança do usuário em um componente de segurança da própria Apple.
O passo a passo do golpe é direto:
1. Mensagem falsa: a vítima recebe um aviso que parece uma atualização legítima do XProtect.
2. Execução do comando: convencida, ela roda um comando no próprio computador.
3. Instalação do backdoor: o comando instala o falso Google Keystone e abre a porta para o controle remoto.
Uma vez instalado, o programa malicioso se configurava para ligar sozinho toda vez que o computador era iniciado, mantinha contato constante com servidores controlados pelos criminosos e podia baixar novos comandos ou arquivos a qualquer momento, o que dava aos atacantes controle contínuo sobre o dispositivo infectado.
Como a Accerte identificou a ameaça
A descoberta aconteceu durante atividades de Cyber Threat Intelligence (CTI), a inteligência de ameaças cibernéticas, e de Threat Hunting, a caça proativa a ameaças, conduzidas pelo time do SOC (Security Operations Center, ou Centro de Operações de Segurança) da Accerte, responsável por monitorar continuamente possíveis riscos. A investigação partiu de uma pesquisa sobre o próprio XProtect, mecanismo de segurança do macOS.
A descoberta aconteceu durante uma pesquisa sobre o XProtect, mecanismo de segurança do macOS. Foi encontrado um conteúdo relacionado no GitHub que chamou a atenção da equipe e, a partir dessa referência, foi analisada a amostra, que ocasionou a confirmação do comportamento malicioso.
As técnicas usadas pelo malware
A análise mostrou que o ataque foi construído com cuidado para não ser percebido, combinando ofuscação, persistência e comunicação com infraestrutura remota. Entre as principais técnicas identificadas pela equipe estão:
A análise mostrou um ataque construído para não ser percebido, combinando ofuscação, persistência e comunicação com infraestrutura remota. Entre as principais técnicas estão:
• Masquerading: simulação de componentes legítimos do sistema, dificultando a identificação por antivírus e pelo usuário.
• Payloads ofuscados: comandos maliciosos executados via shell script e codificação Base64.
• Persistência via LaunchAgent: inicialização automática toda vez que o macOS é ligado.
• Comunicação com Command & Control (C2): conexão com a infraestrutura remota dos criminosos.
• Execução remota de comandos: os operadores enviavam novas instruções a qualquer momento.
• Download de payloads adicionais: instalação de outros arquivos maliciosos sem o conhecimento do usuário.
Compartilhamento de indicadores com a comunidade global
Como parte do compromisso da Accerte com a comunidade de segurança, os indicadores de comprometimento (IoCs), artefatos e URLs identificados foram compartilhados com fabricantes e comunidades. O reporte incluiu a própria Apple, publicações no AlienVault OTX e a submissão de amostras ao VirusTotal, duas das maiores plataformas internacionais de cibersegurança.
Essas instituições acataram a submissão e incluíram a ameaça em suas bases de dados, ampliando a capacidade de organizações no mundo todo de identificá-la e bloqueá-la. Até a publicação, a Apple não se pronunciou oficialmente, mas divulgou atualizações em seus sistemas depois do alerta.
Como usuários e empresas podem se proteger
Para os usuários, o principal risco é instalar arquivos que aparentam ser legítimos, mas que podem comprometer dados pessoais e permitir o controle remoto do dispositivo por criminosos. A recomendação é sempre desconfiar de mensagens que pedem a execução de comandos e instalar atualizações apenas pelos canais oficiais do sistema.
Para as empresas, a identificação e o compartilhamento dos indicadores de comprometimento permitem atualizar soluções de segurança como EDR (Endpoint Detection and Response), SIEM (Security Information and Event Management) e antivírus, o que facilita a detecção precoce da ameaça e uma resposta mais rápida a possíveis incidentes. É por isso que a Accerte mantém uma operação de monitoramento contínuo (NOC e SOC), capaz de identificar ameaças emergentes e produzir inteligência acionável.
Perguntas frequentes
O macOS pode ser infectado por malware? Sim. A descoberta da Accerte confirma que o macOS também é alvo de campanhas de malware cada vez mais sofisticadas e que nenhum sistema operacional está imune a ameaças.
O que é o falso XProtect? É uma campanha maliciosa que imita a interface e o nome do XProtect, o antimalware nativo da Apple, para enganar o usuário e induzi-lo a executar comandos que instalam um backdoor no dispositivo.
Como as empresas podem se proteger dessa ameaça? Mantendo soluções como EDR, SIEM e antivírus atualizadas com os indicadores de comprometimento mais recentes e contando com uma operação de monitoramento contínuo, como um SOC, capaz de detectar e responder a incidentes rapidamente.
Quer avaliar o nível de proteção do seu ambiente, fale com a gente e faça um diagnóstico de segurança para a sua empresa.
