Incidente · ladrão de informações para macOS

Atomic macOS Stealer: o que ele faz no Mac e o que o Kilobat teria mostrado ou bloqueado

O Atomic macOS Stealer, ou AMOS, é um malware alugado para criminosos, que o distribuem por páginas falsas de download e anúncios de busca. Quando alguém o executa, ele pede a senha, coleta itens das Chaves, dados do navegador, carteiras de criptomoedas e arquivos e os envia a um servidor, muitas vezes por HTTP sem criptografia para um endereço IP direto.

Quando: desde abril de 2023Fontes verificadas: 1º de novembro de 2026

Em resumo

Protection: Limitado
Bloqueia os sites de isca, hosts da carga maliciosa e endereços de servidores que estão nas listas de ameaças naquele dia. As campanhas trocam de hosts com frequência e os novos ainda não aparecem nas listas.
Perguntar sobre novos apps: Limitado
No modo Perguntar, um app sem assinatura ou um binário em /tmp é retido na primeira conexão, com seu signatário, caminho e destino. O curl e o osascript da própria Apple passam quando Permitir Software Apple está ativado.
Tráfego de apps: Mostraria
A lista de apps mostraria o processo do ladrão pelo caminho, enviando dados para um endereço direto por HTTP sem criptografia.
Agent guard: Não ajudaria
As campanhas do AMOS visam pessoas, não agentes. O agent guard se aplica apenas ao que um agente de IA inicia.

O que aconteceu

Cyble encontrou o AMOS anunciado em um canal do Telegram em abril de 2023, por US$ 1.000 por mês, com painel web e instalador em imagem de disco. A SentinelOne observou que a distribuição fica a cargo de quem o aluga, por isso as iscas variam tanto: instaladores falsos, software pirateado e resultados patrocinados de busca. Para ler as Chaves, ele pede a senha do usuário em uma caixa de diálogo AppleScript que imita um aviso do sistema.

O Jamf Threat Labs descreveu resultados patrocinados para o navegador Arc em 2024 que levavam a um site semelhante ao original, oferecendo uma imagem de disco com assinatura ad hoc e instruções para clicar com o botão direito e abri-la, contornando o aviso do Gatekeeper. Em janeiro de 2025, um resultado patrocinado para o Homebrew mostrava o endereço real, mas levava a brewe[.]sh, com uma letra diferente; a Moonlock documentou seu comando de instalação, que buscava o AMOS em outro domínio em vez do repositório GitHub do Homebrew. O líder do projeto Homebrew disse que o anúncio foi removido em poucos dias e que anúncios assim continuam voltando.

Campanhas posteriores dispensam o download. A Unit 42 acompanhou uma página falsa de “kit de ferramentas macOS” em 2026 cuja configuração rápida era um comando para colar no Terminal; ele buscava um script, que buscava um binário salvo como /tmp/helper, pedia a senha e coletava carteiras, dados do Telegram, dados do navegador, zsh_history e as pastas aws, gcloud e docker. A Microsoft descreveu em janeiro de 2026 o AMOS chegando como download de app falso, instalando um LaunchDaemon e consultando seu servidor por comandos. A Moonlock relatou uma campanha em março de 2026 disfarçada de ferramenta de agente de IA, “Clearly AI”.

Linha do tempo

Abril de 2023
AMOS é vendido no Telegram por US$ 1.000 por mês (Cyble, SentinelOne).
Maio de 2023
A SentinelOne documenta uma segunda variante e aponta o Google Ads como meio de distribuição.
Abril de 2024
A Jamf descreve resultados patrocinados para o navegador Arc que levavam a sites falsos de download.
17–20 de janeiro de 2025
Um resultado patrocinado para o Homebrew leva a um site semelhante ao original, cujo comando de instalação baixa o AMOS (Moonlock).
Janeiro de 2026
A Microsoft observa o AMOS distribuído como um app falso, com um LaunchDaemon e um loop de comandos.
Março de 2026
O AMOS se passa por uma ferramenta de agente de IA para Mac (Moonlock, citando Intel 471 e CYFIRMA).
Julho–agosto de 2026
A Unit 42 executa duas infecções a partir de uma página que pede para colar um comando no Terminal; o endereço do servidor é diferente em cada uma.

Como apareceu na rede

A primeira conexão é uma navegação comum: um clique no anúncio, seguido de uma página semelhante à original. Nas variantes que pedem para colar um comando, a próxima conexão parte do Terminal: curl baixa um script de um segundo domínio, muitas vezes decodificando-o na memória (a Microsoft descreve curl … | base64 -d | gunzip), e o script baixa o binário. Nas variantes com imagem de disco, o próprio app adulterado faz a conexão externa.

A coleta ocorre localmente e sem chamar atenção. Os dados são preparados em /tmp, compactados com o próprio ditto do macOS em out.zip e enviados com requisições HTTP POST. A Jamf observou um zip em base64 no corpo da requisição; a Microsoft observou requisições POST para /log em um endereço IP direto, com cabeçalhos identificando a versão e o usuário; a Unit 42 observou uma série de requisições POST para um IP direto cujas URLs terminam em stage=credentials, stage=browsers, stage=wallets e assim por diante. Depois, a variante com LaunchDaemon consulta /api/v1/bot/actions/<id> periodicamente em busca de comandos.

Os processos envolvidos são principalmente do próprio macOS, curl, osascript, ditto, executados a partir do Terminal ou do app falso, além do binário do malware. A Unit 42 ressalta que os domínios, endereços e nomes de arquivos mudam com frequência.

Indicadores

Conforme documentados pelas fontes. Os domínios aparecem como texto, nunca como links, e são neutralizados ([.]) quando a fonte os neutraliza. A maior parte dessa infraestrutura já deixou de existir: os indicadores ajudam a verificar registros, arquivos e contas antigos, não a bloquear campanhas atuais.

Indicador	Tipo	Onde aparece	Observação
`brewe[.]sh`	Domínio	Navegador	Site semelhante ao Homebrew por trás de um resultado patrocinado, janeiro de 2025 (Moonlock).
`hxxps://norikosumiya[.]com/brew/update`	URL	Terminal (curl)	Origem do download do AMOS pelo comando de instalação desse site (Moonlock).
`aricl[.]net, airci[.]net`	Domínios	Navegador	Sites falsos de download do navegador Arc, 2024 (Jamf).
`alliai[.]com, alli-ai[.]pro, ai[.]foqguzz[.]com, day[.]foqguzz[.]com`	Domínios	Navegador, o app falso	Redirecionamentos, o download de AlliAi.dmg e sua primeira conexão, janeiro de 2026 (Microsoft).
`hxxp://217.119.139[.]117/log`	URL em um IP direto	Seu Mac	Download da próxima etapa (`/d/…`) e exfiltração, por HTTP sem criptografia (Microsoft).
`getmacouscloud[.]com, ferncore13[.]com, grove-89[.]com`	Domínios	Navegador, Terminal (curl)	A página falsa da ferramenta, o host do script e do binário e um terceiro host listado pela Unit 42, 2026.
`161.35.146[.]120, 188.166.78[.]138`	Endereços IP	Seu Mac	Servidor para os uploads de `stage=…` em 5 de agosto e 31 de julho de 2026 (Unit 42).
`clearl[.]co`	Domínio	Navegador	Ferramenta falsa de agente de IA, Cleal_AI.dmg, março de 2026 (Moonlock).
`/tmp/helper, /tmp/starter, /tmp/out.zip, /Library/LaunchDaemons/com.<random>.plist`	Arquivos	Seu Mac	O binário, um plist, os dados preparados e a persistência da variante de janeiro de 2026 (Unit 42, Microsoft).

O que o Kilobat teria mostrado ou bloqueado

Protection. O Kilobat verifica as conexões de todos os apps, inclusive as do navegador, do Terminal e do curl, nas Threat Intelligence Feeds da HaGeZi (domínios e endereços IP), na HaGeZi Fake e na URLhaus, e recusa as que constam nessas listas, identificando o app. Um host ou endereço listado naquele dia teria sido bloqueado, fosse uma página, um payload ou um servidor. Quando verificamos em 1º de novembro de 2026, nenhum dos hosts e endereços da tabela acima ainda constava nessas listas: elas removem a infraestrutura que ficou inativa, e não é possível verificar agora se cada um estava listado enquanto estava ativo.
Ask about new apps. Com Ask about new apps ativado no perfil Travel ou Work, a primeira conexão de um app sem regra fica em espera enquanto o Kilobat mostra quem o assinou, seu caminho e o destino desejado. Um app sem assinatura ou assinado ad hoc de uma imagem de disco, ou um binário executado de /tmp, aguardaria sua resposta. Com Allow Apple Software ativado, curl e osascript da Apple são permitidos.
Tráfego de apps. A lista de apps do Kilobat identifica pelo caminho as ferramentas de linha de comando que não fazem parte do macOS; assim, /tmp/helper enviando dados se destaca, com seu upload e destino. Uma conexão por endereço direto mostra o endereço.

Onde o Kilobat não teria ajudado

O Kilobat não é um antivírus. Ele não impede que você cole um comando, abra uma imagem de disco ou digite sua senha em uma caixa de diálogo falsa; mantenha o XProtect e o Gatekeeper ativados.
A maior parte do roubo acontece antes de qualquer conexão. A leitura das chaves, dos perfis de navegador e das carteiras é local, e só o upload final passa pela rede.
Sites de isca e servidores recém-criados ainda não constam em nenhuma lista. A Moonlock descobriu que o site da ferramenta falsa de IA não era detectado por nenhum mecanismo do VirusTotal enquanto estava ativo.
O material roubado é usado nas máquinas dos atacantes, com seus cookies e senhas, de modo que nada mais aparece no seu Mac.
A proteção de agentes e o registro de rede de agentes não se aplicam a programas que você mesmo inicia pelo Terminal ou Finder.

Verifique seu Mac agora

Procure itens de inicialização que você não reconhece. O AMOS já usou com. seguido de letras aleatórias.
```
ls -la /Library/LaunchDaemons /Library/LaunchAgents ~/Library/LaunchAgents
```
Procure as pastas ocultas encontradas pela Unit 42, com nomes que imitam os da Apple. Elas normalmente não existem.
```
ls -la ~/Library/Application\ Support/.com.apple.accountsd ~/Library/Application\ Support/.com.apple.metadata.mds
```
Procure arquivos preparados para envio. O macOS limpa /tmp ao reiniciar, portanto não encontrar nada prova muito pouco.
```
ls -la /tmp/helper /tmp/starter /tmp/out.zip
```
Examine o histórico do shell em busca de um comando colado de uma página da web que baixe e execute algo.
```
grep -nE "curl .*\| *(ba|z)?sh|base64 -(d|D)" ~/.zsh_history
```
Instale o Homebrew somente com o comando em brew.sh, que baixa raw.githubusercontent.com/Homebrew/install/HEAD/install.sh. Antes de executar qualquer comando de instalação, verifique o host de onde ele baixa os arquivos.
```
kilobat protect check example-download-host.com
```
Ative Ask about new apps, permitindo o software da Apple, para que novos programas aguardem sua resposta. Consulte Obter aprovações para novos apps.
```
kilobat settings new-apps ask
```
Se encontrar sinais do AMOS, considere expostos suas senhas salvas, sessões de navegador, chaves e carteiras. Em outro dispositivo, altere as senhas, encerre as outras sessões e transfira as criptomoedas para uma nova carteira; depois, apague e reinstale o macOS em vez de confiar em uma limpeza.

Perguntas

O Gatekeeper impede o AMOS?

Não quando as pessoas são convencidas a contorná-lo. A Jamf observou imagens de disco que orientavam os usuários a clicar com o botão direito e abrir o app, e as variantes que pedem para colar um comando no Terminal nem sequer apresentam um app ao Gatekeeper. Mantenha-o ativado mesmo assim; ele impede muitas ameaças.

O Kilobat teria bloqueado o site falso do Homebrew?

Somente se brewe[.]sh ou o domínio do payload estivesse nas listas de ameaças enquanto o anúncio foi veiculado, por cerca de três dias em janeiro de 2025. Isso não pode ser verificado depois do fato, e ele não está listado agora.

Fontes

Verificado em 1º de novembro de 2026.

Veja a que seus agentes e apps se conectam

O Kilobat é um app para a barra de menus do Mac que identifica o app, processo e agente por trás de cada conexão, mantém essas conexões longe de hosts reconhecidamente maliciosos e registra o que cada sessão de agente acessou.

Baixar para Mac ↓

$ brew install seifip/kilobat/kilobat