MacSync: novo malware para Mac pede a palavra-passe e rouba credenciais e criptomoedas

Os computadores da Apple continuam a ser um alvo apetecível para quem rouba dados. Os investigadores da Kaspersky descrevem uma versão nova e mais elaborada do MacSync, um programa malicioso para macOS que apareceu entre 2024 e 2025 como variante de outro ladrão de informação, o AMOS. A versão detetada em setembro de 2026 tem uma cadeia de infeção mais complexa e deixa no computador duas peças: um programa que recolhe dados e uma backdoor, que mantém a porta aberta aos atacantes.

Como entra no Mac

Tudo começa com um ficheiro que a vítima descarrega convencida de que é uma aplicação legítima, por exemplo uma carteira de criptomoedas ou uma ferramenta de partilha de documentos. Esse ficheiro desencadeia uma sequência de outros descarregamentos. Em alguns casos, uma das peças está alojada num sítio improvável: uma entrada pública de um calendário do iCloud.

Quando arranca, o programa apresenta-se como a aplicação que a pessoa julgava ter instalado e pede a palavra-passe de administrador. Logo a seguir mostra um aviso a dizer que a aplicação está danificada e sugere que seja movida para o Lixo. É uma distração. Nessa altura, a palavra-passe já foi entregue.

O que rouba

Com essa palavra-passe, o MacSync recolhe o histórico, os cookies e as credenciais guardadas nos navegadores, o ficheiro do Porta-chaves, os dados do Telegram e os de aplicações de carteiras de criptomoedas. Leva também a lista de aplicações instaladas, informação sobre o hardware e configurações usadas por programadores.

A segunda peça, a backdoor, faz-se passar pelo Finder. Através dela, os atacantes podem instalar à distância extensões modificadas no navegador, provavelmente para substituir as extensões de carteiras de criptomoedas, e trocar a aplicação da carteira Ledger por uma cópia falsa. Podem ainda ir buscar ficheiros específicos.

Como te proteges

Sergey Puzan, especialista em segurança da Kaspersky, lembra que a palavra-passe de administrador é a chave que protege os dados mais sensíveis do computador e recomenda atenção sempre que uma aplicação a pede. O conselho central é confirmar que cada aplicação vem do programador original, descarregando-a da App Store ou do site oficial, e não de páginas de terceiros.

Se uma aplicação acabada de instalar pedir a palavra-passe e a seguir disser que está danificada, o melhor é tratar o caso como uma infeção: mudar as palavras-passe a partir de outro dispositivo e mover os fundos das carteiras de criptomoedas para endereços novos. A Kaspersky indica que os seus produtos de segurança detetam esta família de malware.

macOSMalwareKasperskyCriptomoedasApple