Imagine encontrar um anúncio publicado pela conta verificada da HBO Max, clicar para baixar um aplicativo para Mac e terminar entregando senhas, cookies, dados de carteiras de criptomoedas e outras informações pessoais para criminosos.
Não estamos falando de uma cópia barata do perfil da empresa.
A conta era oficial.
Em setembro de 2026, uma conta verificada da HBO Max no Reddit foi comprometida e utilizada para publicar 108 anúncios durante um período de aproximadamente 48 horas. A descoberta acabou revelando algo bem maior.
Pesquisadores da Hudson Rock e ADAMNetworks encontraram uma estrutura de distribuição de malware capaz de identificar o computador utilizado pela vítima, apresentar páginas falsas específicas e entregar diferentes ameaças para macOS e Windows.
A operação recebeu o nome PasteSwitch.
E existe um detalhe particularmente incômodo nessa história: em determinadas situações, quem efetivamente iniciava a instalação do malware era a própria vítima.
O anúncio parecia legítimo porque vinha de uma conta legítima
O caso começou a chamar atenção depois que um usuário do Reddit identificou um anúncio publicado pela conta verificada da HBO Max.
A propaganda oferecia uma suposta versão nativa do HBO Max para macOS. Porém caros leitores(a) ao clicar, o usuário era direcionado para uma página construída para reproduzir a identidade visual do serviço.
Até aqui, temos praticamente o roteiro clássico de phishing. Só que o próximo passo era diferente.
Em vez de simplesmente entregar um arquivo para download, a página apresentava instruções para copiar um comando, abrir o Terminal do macOS, colar o conteúdo e executá lo. É aí que entra uma técnica conhecida como ClickFix.
O navegador não precisa explorar diretamente uma falha do computador. A página convence o usuário a pegar um comando fornecido pelo criminoso e executá lo voluntariamente em uma ferramenta legítima do sistema.
É quase como entregar a chave da porta porque alguém do outro lado apareceu usando um crachá convincente.
Foram 108 anúncios em apenas 48 horas
A HBO Max era apenas uma das iscas. A investigação identificou 108 anúncios distribuídos em cinco grupos durante aproximadamente dois dias.
Quarenta anúncios estavam relacionados a uma falsa aplicação da HBO Max. Outros 36 exploravam o nome do OpenAI Codex. Quinze anunciavam uma suposta ferramenta de limpeza para macOS, enquanto 11 utilizavam ferramentas para desenvolvedores como chamariz. Outros seis voltavam a explorar a marca HBO Max.
Isso mostra uma característica importante da operação. Os criminosos podiam trocar a embalagem sem necessariamente alterar a máquina funcionando nos bastidores.
Hoje HBO Max. Amanhã uma ferramenta para desenvolvedores. Depois um aplicativo popular de inteligência artificial.
O que estiver funcionando melhor para conseguir o clique. Após a descoberta, administradores do Reddit interromperam os anúncios e iniciaram uma investigação de segurança.
Mas a campanha já havia deixado rastros suficientes para que pesquisadores continuassem seguindo sua infraestrutura.
Uma página falsa revelou o que existia por trás do ataque
Quando a investigação técnica avançou, parte dos domínios relacionados diretamente à HBO Max já não entregava o conteúdo malicioso.
Outra página associada à infraestrutura, porém, continuava funcionando. Ela imitava o Alfred, popular ferramenta de produtividade para macOS.
Para visitantes considerados adequados, a página apresentava novamente a instrução para copiar um comando e executá lo no Terminal.
Foi esse comando que ajudou a abrir a caixa preta da operação. Depois de decodificado, ele levava a um servidor remoto responsável por entregar outro script.
A cadeia utilizava recursos disponíveis no próprio macOS para reconstruir, descriptografar e executar novos componentes. Ferramentas como OpenSSL, gzip, md5 e xxd apareciam durante o processo.
Havia até telemetria para informar aos operadores quando o comando havia sido executado com sucesso. Um dos eventos utilizados pela infraestrutura recebia o sugestivo nome pasted.
Não era apenas uma página jogada na internet esperando alguém cair. Existia uma estrutura para acompanhar o ataque.
O malware podia roubar praticamente a vida digital da vítima
Quando os pesquisadores analisaram o componente entregue ao macOS, encontraram uma lista considerável de informações procuradas pelo malware.
Credenciais e cookies armazenados em navegadores Chromium e Firefox estavam entre os alvos.
O ataque também buscava informações do Keychain do macOS, Apple Notes, histórico do Terminal, arquivos relacionados a SSH, carteiras de criptomoedas, aplicativos de mensagens, gerenciadores de senhas e arquivos armazenados no computador.
Não era exatamente um malware modesto.
Depois de executado, componentes também podiam ser instalados em diretórios cujos nomes imitavam serviços da própria Apple.
Essa estratégia ajudava na persistência e podia dificultar uma identificação casual do problema.
Em outras palavras, fechar a página falsa depois de perceber que havia algo estranho não necessariamente resolveria a situação. O comando já poderia ter feito seu trabalho.
O ataque escolhia quem deveria ver a página falsa
Aqui a operação fica ainda mais interessante. E perigosa. Nem todo visitante necessariamente recebia o golpe.
As páginas analisavam características do dispositivo e do navegador antes de decidir qual conteúdo apresentar.
Entre os sinais observados estavam plataforma, navegador, tela, ambiente gráfico, fuso horário, presença em iframe, recursos de toque e outras características do ambiente.
Em uma das observações descritas pelos pesquisadores, uma página falsa do Alfred apresentava o conteúdo malicioso para um visitante usando macOS.
Quando acessada através de um ambiente Windows utilizado para análise, a mesma página direcionava o visitante para o site verdadeiro do Alfred.
Sim, o golpe podia mandar o pesquisador de segurança para o site legítimo enquanto reservava o malware para uma vítima considerada interessante. Conveniente.
Outra página analisada exigia classificação como dispositivo Apple, pelo menos dez eventos de interação e dois segundos de atividade antes de revelar o comando malicioso.
Isso ajuda a explicar por que algumas campanhas conseguem passar despercebidas por sistemas automatizados.
O robô visita e encontra uma página inofensiva. O usuário real visita e recebe outra coisa.
PasteSwitch não atacava apenas usuários de Mac
A investigação mostrou que a infraestrutura era capaz de mudar o ataque conforme o sistema operacional.
Usuários de macOS podiam receber componentes relacionados a famílias e ferramentas como MacSync e AMOS. No Windows, a cadeia podia mudar completamente.
Uma das páginas analisadas apresentava um comando utilizando mshta, componente legítimo do Windows.
A sequência posteriormente utilizava PowerShell, criava uma tarefa agendada e empregava diferentes técnicas de ofuscação antes de carregar código malicioso diretamente na memória.
O malware final identificado nessa cadeia foi o Amatera Stealer. A amostra analisada podia coletar informações do computador, enumerar processos, verificar configurações regionais e de teclado, capturar telas e tentar recuperar credenciais armazenadas em navegadores.
Também existia suporte para receber novas tarefas. O PasteSwitch, portanto, não era simplesmente um malware para Mac. Era uma estrutura de distribuição capaz de mudar a arma conforme a vítima.
Ledger, Trezor e Exodus também viraram isca
A investigação encontrou ainda aplicações falsas que imitavam softwares relacionados a Ledger, Trezor Suite e Exodus. Nesse ponto, o objetivo ficava bastante direto.
As aplicações tentavam coletar informações como senhas e frases de recuperação utilizadas para acessar carteiras de criptomoedas.
No caso das carteiras, uma frase de recuperação comprometida pode significar acesso aos ativos da vítima. E os aplicativos falsos ainda utilizavam um truque particularmente eficiente.
Depois de coletar as informações, podiam apresentar mensagens falsas de erro e direcionar o usuário para o site legítimo da empresa.
Para a vítima, parecia apenas uma instalação que deu errado. Para quem estava do outro lado, o que interessava já poderia ter sido enviado.
Até o Facebook apareceu como disfarce
Uma das descobertas mais curiosas surgiu na análise do Amatera. O malware estabelecia uma conexão diretamente com o endereço 77.91.65.13 pela porta 443.
Mas havia um detalhe.
Durante a comunicação TLS e HTTP, a conexão apresentava facebook.com como identidade.
Isso criava uma diferença entre o endereço realmente acessado e o nome apresentado durante a comunicação.
Dependendo da forma como o tráfego fosse monitorado, uma análise superficial poderia enxergar Facebook onde, na realidade, existia comunicação com infraestrutura relacionada ao malware.
Os pesquisadores também observaram mecanismos de validação manual de certificados e não identificaram no código analisado uma verificação convencional da cadeia do certificado ou do nome do servidor.
O caso mostra por que simplesmente olhar para o SNI de uma conexão HTTPS deixou de ser suficiente para determinar com quem um computador realmente está conversando.
Nome apresentado, endereço IP, DNS, certificado e infraestrutura precisam fazer sentido juntos.
Quando o IP aponta para um lugar e o TLS diz Facebook, talvez seja uma boa hora para não acreditar automaticamente no Facebook.
Criminosos também usaram blockchain para controlar servidores
A operação revelou ainda uma técnica menos convencional. Dois componentes associados ao roubo e substituição de endereços de criptomoedas, AnimateClipper e ZigClipper, utilizavam contratos na BNB Smart Chain como uma espécie de endereço atualizável para sua infraestrutura.
Um contrato estava na rede de testes e outro na rede principal. Os pesquisadores identificaram o mesmo controlador atualizando ambos.
Entre março e julho de 2026, 36 mudanças realizadas na rede principal foram precedidas pela mesma atualização na rede de testes apenas três ou quatro segundos antes.
Em 12 de setembro, os dois contratos retornavam lb.propertyfind.cc.
A vantagem para o criminoso é simples. Se o endereço utilizado como servidor for bloqueado, a informação armazenada no contrato pode ser alterada. O malware consulta novamente o contrato e recebe outro destino.
Blockchain, aparentemente, também encontrou seu caso de uso para malware. Não era exatamente o futuro descentralizado que os evangelistas tinham em mente.
Outro malware podia trocar carteiras copiadas pela vítima
A investigação encontrou ainda configurações contendo conjuntos de endereços de criptomoedas utilizados por componentes conhecidos como clippers.
Esse tipo de malware explora uma ação extremamente comum. Copiar e colar.
Quando a vítima copia o endereço de uma carteira de criptomoedas, o malware pode detectar o conteúdo da área de transferência e substituir aquele endereço por outro controlado pelo criminoso.
A vítima cola o endereço, vê uma sequência enorme de letras e números e confirma a transferência. Se não conferir cuidadosamente o destino, o dinheiro pode acabar em outra carteira.
É uma técnica que depende menos de quebrar criptografia e mais de quebrar atenção humana. E atenção continua sendo um recurso escasso na internet.
Os domínios desapareciam, mas o comportamento permanecia
PasteSwitch utilizava uma quantidade considerável de domínios. Alguns serviam as páginas falsas. Outros recebiam telemetria. Outros distribuíam componentes, controlavam máquinas infectadas ou recebiam informações roubadas.
Esses endereços podiam ser substituídos rapidamente. Ainda assim, a investigação encontrou elementos recorrentes capazes de conectar diferentes partes da infraestrutura.
Registros de domínios realizados praticamente ao mesmo tempo, servidores compartilhados, nameservers semelhantes, certificados, tokens de rotas e padrões de comunicação ajudaram a revelar essas relações.
Em um dos casos analisados, 64 domínios semelhantes foram registrados em apenas 61 segundos em setembro de 2025.
A infraestrutura mudava de endereço com frequência. O jeito de trabalhar, nem tanto.
O maior alerta não está no malware
PasteSwitch é tecnicamente interessante pela quantidade de componentes envolvidos, pelo direcionamento de vítimas, pela rotação de infraestrutura e até pelo uso de contratos inteligentes.
Mas existe uma parte dessa história que deveria preocupar muito mais o usuário comum. O ataque começou com confiança.
A vítima encontrava uma conta verificada. Via uma marca conhecida. Entrava em uma página convincente, recebia instruções aparentemente técnicas.
E executava um comando utilizando uma ferramenta legítima do próprio computador. Não era necessário aparecer uma janela dizendo “instalar malware”.
Bastava transformar uma sequência perigosa em algo com aparência de procedimento normal.
Se um site mandar abrir o Terminal, pare antes de colar
Executar comandos no Terminal ou PowerShell não é automaticamente perigoso. Desenvolvedores e administradores fazem isso diariamente. A origem do comando é que muda tudo.
Se um anúncio, página de download ou suposta ferramenta solicitar que você copie um comando e execute diretamente no computador, descubra primeiro exatamente o que aquele comando faz.
Se estiver procurando um aplicativo, prefira acessar diretamente o endereço oficial do desenvolvedor em vez de confiar no primeiro anúncio encontrado.
E não trate o selo de uma conta como garantia absoluta. Uma conta legítima pode ser comprometida. Foi justamente o que tornou esse episódio particularmente relevante.
A campanha mostrou que criminosos não precisam apenas criar páginas falsas convincentes. Eles podem sequestrar a confiança que já existe.
No caso investigado, essa confiança começava em uma conta oficial da HBO Max e podia terminar com malware instalado no computador, credenciais roubadas e carteiras de criptomoedas na mira.
O clique era só o começo. O verdadeiro problema começava quando alguém apertava Enter.
