Uma campanha ClickFix recém-documentada se transformou discretamente em uma rede extensa de mais de 250 domínios, todos criados para enganar usuários de Mac a infectarem suas próprias máquinas. O que torna essa operação notável não é apenas sua escala. É o fato de os invasores estarem usando fingerprinting de navegador, a mesma técnica de rastreamento usada por anunciantes e corretores de dados, para decidir quem vê uma isca maliciosa e quem recebe uma página inofensiva.

Como a campanha ClickFix esconde seus rastros

Os ataques ClickFix seguem um padrão familiar: um site falso informa aos visitantes que seu navegador ou sistema apresenta um erro, e então os instrui a copiar e colar um comando no Terminal para "corrigi-lo". Esse comando, na verdade, instala malware, neste caso uma variante ligada ao AMOS, um conhecido infostealer para macOS projetado para coletar senhas salvas, dados do navegador e informações de carteiras de criptomoedas.

O que diferencia essa campanha é o fingerprinting do lado do servidor. Em vez de exibir a isca maliciosa para todos os visitantes, a infraestrutura dos invasores inspeciona detalhes do navegador de entrada, como resolução de tela, fontes instaladas, strings de user-agent e outros sinais sutis de configuração, antes de decidir o que mostrar. Scanners de segurança, robôs automatizados e pesquisadores que investigam os domínios tendem a receber uma página limpa e sem atrativos. Os usuários reais de Mac navegando normalmente são os direcionados para a isca ClickFix.

Isso representa uma evolução significativa na forma como as campanhas de malware evitam a detecção. Em vez de depender exclusivamente de código ofuscado ou domínios de curta duração, os operadores estão usando técnicas de identificação passiva para filtrar seu público antes mesmo de o ataque começar. Com mais de 250 domínios supostamente envolvidos, a campanha tem redundância suficiente para que a derrubada de sites individuais pouco faça para contê-la como um todo.

Fingerprinting: uma ferramenta tanto para anunciantes quanto para invasores

O fingerprinting de navegador não é novo, nem é inerentemente malicioso. Sites e redes de anúncios usam técnicas semelhantes há anos para rastrear usuários entre sessões sem depender de cookies. O que essa campanha demonstra é como exatamente os mesmos métodos passivos de perfilamento usados para rastreamento comercial podem ser reaproveitados para distribuir malware seletivamente enquanto evitam a detecção.

Vale a pena refletir sobre essa sobreposição. Toda vez que um navegador expõe detalhes técnicos granulares a um site, cria-se uma oportunidade para que esses dados sejam usados de maneiras que o visitante nunca imaginou, seja por uma plataforma de anúncios construindo um perfil ou, neste caso, por um operador de malware decidindo quem vale a pena atacar. Os leitores que desejam entender mais profundamente como o fingerprinting e outros mecanismos de rastreamento funcionam, e o que as ferramentas de privacidade padrão conseguem ou não bloquear, podem achar útil revisitar o que é uma VPN e como ela funciona, já que o fingerprinting é um dos métodos de rastreio que uma VPN sozinha não neutraliza completamente.

Por que isso importa além do macOS

Embora esta campanha específica tenha como alvo usuários de Mac com infostealers do tipo AMOS, a técnica subjacente — usar fingerprinting para ocultar seletivamente o conteúdo malicioso das defesas automatizadas — não é específica de plataforma. Ela reflete uma tendência mais ampla de operadores de malware pegando emprestadas ferramentas do mundo da tecnologia de anúncios e análises para tornar sua infraestrutura mais resiliente. Lógicas de camuflagem semelhantes apareceram em outras campanhas recentes que escondem cargas maliciosas dentro de serviços de aparência legítima, como a técnica msaRAT do grupo de ransomware Chaos, que oculta o tráfego de comando e controle dentro de processos confiáveis do navegador. O fio condutor é a evasão por meio da legitimidade: os invasores cada vez mais se escondem à vista de todos, em vez de depender de uma infraestrutura obviamente suspeita.

O que isso significa para você

Se você usa um Mac, o risco prático aqui é direto: qualquer site que peça para você abrir o Terminal e colar um comando para "corrigir" um erro, verificar que você é humano ou resolver um suposto problema de segurança deve ser tratado como um sinal de alerta. Atualizações de software legítimas e etapas de solução de problemas não funcionam dessa forma. Nenhuma correção real, atualização de navegador ou verificação de CAPTCHA exige que você execute manualmente comandos de shell.

Como esta campanha depende de fingerprinting para atingir seletivamente usuários reais, as ferramentas padrão de varredura de segurança podem nem sempre detectá-la precocemente, o que coloca mais peso na conscientização do usuário. Também é um lembrete de que o rastreamento baseado em fingerprinting, do tipo que tanto anunciantes quanto invasores usam, é em grande parte invisível para a sessão média do navegador, a menos que você esteja usando ativamente proteções de privacidade projetadas para limitar o que seu dispositivo revela.

Medidas práticas

  • Nunca cole um comando no Terminal ou Executar apenas porque um site mandou, independentemente de quão oficial a página pareça.
  • Mantenha o macOS e seu navegador atualizados e seja cético em relação a pop-ups que alegam correções urgentes.
  • Use configurações ou extensões do navegador que limitem a superfície de fingerprinting, como restringir a enumeração de fontes e o acesso ao canvas sempre que possível.
  • Se você está pesquisando como a criptografia e as ferramentas de privacidade se encaixam em uma estratégia de defesa mais ampla, entender a criptografia de VPN é um bom ponto de partida, embora lembre-se de que as defesas contra fingerprinting exigem proteções separadas no nível do navegador.

Esta campanha ClickFix é um estudo de caso útil sobre como os invasores se adaptam: não inventando novos malwares, mas pegando emprestada a infraestrutura de rastreamento da web moderna para tornar truques antigos mais difíceis de detectar. Permanecer cauteloso com instruções não solicitadas do tipo "corrija você mesmo" continua sendo a defesa mais simples e eficaz.