SHub Reaper: o infostealer para macOS que engana usuários ao se passar por Apple, Google e Microsoft

O que é o SHub Reaper

O SHub Reaper é um infostealer para macOS — um tipo de malware cujo objetivo principal é coletar e enviar dados confidenciais para os atacantes.

Ele faz parte da família SHub Stealer, conhecida por campanhas direcionadas a usuários de Mac com foco em roubo de credenciais e acesso a carteiras de criptomoedas.

Depois de instalado, o malware tenta coletar diversos tipos de informações valiosas, como:

• Senhas salvas em navegadores
• Dados do Apple Keychain (cofre de credenciais do macOS)
• Informações relacionadas ao iCloud
• Arquivos e documentos locais
• Carteiras de criptomoedas e extensões de wallet

Análises técnicas mostram que variantes da família SHub podem acessar dados de vários navegadores, sessões de aplicativos de mensagens e até tentar extrair chaves ou frases de recuperação de carteiras cripto.

Como funciona o ataque em múltiplas etapas

Diferentemente de muitos malwares tradicionais, o SHub Reaper depende principalmente de engenharia social, ou seja, manipulação do usuário — não de falhas técnicas no sistema.

Em vez de explorar uma vulnerabilidade diretamente, o atacante convence a própria vítima a executar o código malicioso.

1. Instaladores ou atualizações falsas

O primeiro contato costuma acontecer por meio de páginas de download fraudulentas ou alertas falsos de atualização.

Pesquisadores observaram iscas como:

• Instaladores falsos de aplicativos como WeChat ou Miro
• Sites que imitam utilitários populares como CleanMyMac
• Páginas que se passam por ferramentas de segurança da Apple

Para tornar o golpe mais convincente, alguns estágios usam domínios que imitam infraestrutura da Microsoft ou apresentam o malware como se fosse um componente oficial da Apple.

2. O truque de engenharia social “ClickFix”

Muitas campanhas associadas ao SHub utilizam uma técnica conhecida como ClickFix.

Nesse método, o site instrui o usuário a resolver um problema ou concluir a instalação copiando e colando um comando no Terminal.

O texto normalmente afirma que o comando irá:

• instalar um utilitário
• corrigir um erro
• completar a instalação de um aplicativo

Na realidade, o comando baixa e executa o malware.

Como o próprio usuário executa o comando manualmente, parte dos alertas de segurança do sistema pode não ser acionada.

3. Cadeia de scripts em várias etapas

Após a execução do comando, o ataque pode seguir uma sequência de etapas para esconder melhor o malware.

Um exemplo observado em análises técnicas inclui:

• Um comando curl ofuscado que baixa um carregador compactado
• Execução do carregador via shell (frequentemente zsh)
• Um estágio posterior que executa um payload em AppleScript, responsável pelas atividades maliciosas

Essa estrutura em camadas dificulta a detecção imediata do ataque.

Quais dados o malware tenta roubar

O objetivo do SHub Reaper é coletar dados que possam ser vendidos, reutilizados em ataques ou convertidos em dinheiro.

Entre os alvos observados estão:

• Senhas armazenadas em navegadores
• Credenciais e segredos do Apple Keychain
• Dados sincronizados com o iCloud
• Arquivos e documentos do sistema
• Sessões de aplicativos como Telegram
• Carteiras e aplicativos de criptomoedas

Em algumas campanhas, os atacantes chegam a modificar ou substituir aplicativos legítimos de carteira cripto por versões trojanizadas, permitindo roubar frases de recuperação ou fundos posteriormente.

Persistência e técnicas para evitar detecção

Depois de infectar o sistema, o SHub Reaper pode manter presença no Mac instalando um LaunchAgent disfarçado de serviço legítimo, como “GoogleUpdate”.

No macOS, LaunchAgents são arquivos de configuração que instruem o sistema a executar um programa automaticamente sempre que o usuário faz login.

O malware também usa outras técnicas para dificultar a detecção:

• uso de AppleScript e processos legítimos do macOS para se misturar à atividade normal do sistema
• divisão do ataque em vários estágios
• execução iniciada por comandos do usuário no Terminal

Essas estratégias reduzem a eficácia de ferramentas que dependem apenas de assinaturas conhecidas.

Por que isso pode contornar proteções do macOS

O macOS possui mecanismos de segurança integrados, como Gatekeeper e XProtect, que analisam aplicativos e downloads em busca de malware conhecido.

Porém, ataques como o SHub Reaper conseguem evitar parte dessas barreiras porque:

• o usuário executa manualmente o comando no Terminal
• o código malicioso chega em múltiplos estágios
• alguns componentes se passam por utilitários legítimos

Quando a execução começa a partir de um comando autorizado pelo usuário — em vez de um aplicativo baixado — algumas verificações de segurança podem ser contornadas.

Como usuários de Mac podem se proteger

Mesmo sendo um ataque sofisticado, ele depende principalmente de enganar o usuário. Algumas práticas simples reduzem bastante o risco.

Nunca cole comandos no Terminal vindos de sites.
Se uma página pede para copiar e colar um comando para instalar algo ou corrigir um erro, encare isso como altamente suspeito.

Instale atualizações apenas por canais oficiais.
Prefira o Software Update do macOS, a Mac App Store ou o site oficial do desenvolvedor.

Mantenha macOS e navegadores atualizados.
A Apple atualiza frequentemente componentes como XProtect e XProtectRemediator para detectar novas ameaças.

Monitore contas importantes e carteiras cripto.
Se houver suspeita de infecção, troque senhas a partir de um dispositivo limpo e verifique atividades incomuns.

Considere usar ferramentas de segurança confiáveis.
Soluções de proteção de endpoint podem identificar scripts suspeitos, mecanismos de persistência ou comunicação maliciosa.

Um sinal de uma tendência maior

O SHub Reaper reflete uma mudança clara no cenário de ameaças digitais. À medida que Macs se tornam mais comuns em empresas e ambientes profissionais, criminosos têm investido cada vez mais em malware específico para macOS, frequentemente distribuído por engenharia social.

A principal lição é simples: na maioria dos casos atuais, o malware para Mac não invade o sistema à força — ele convence o usuário a deixá‑lo entrar.