Verificar o Mac contra malware: o que fazer após um falso CAPTCHA

“Socorro, como removo este malware?” é um post recorrente nos fóruns de Mac, e em 2026 ele quase sempre remonta à mesma coisa: uma página de falso CAPTCHA que convence o visitante a abrir o Terminal e colar um comando. Pesquisadores de segurança chamam a técnica de ClickFix, e campanhas que a usam contra usuários de Mac foram acompanhadas o ano todo, inclusive algumas voltadas a desenvolvedores e a usuários de ferramentas de IA. Este guia explica como isso acontece, o que fazer se você já executou um comando e como verificar um Mac direito em vez de adivinhar.

Se você já colou um comando: vá para a seção correspondente mais abaixo e troque as suas senhas importantes a partir de outro dispositivo limpo antes de fazer qualquer outra coisa no Mac infectado.

Triagem rápida

Como os Macs são infectados hoje

O malware para Mac raramente chega por uma falha de software hoje em dia. A técnica dominante em 2026 é a engenharia social, não uma falha técnica:

1. Uma página de verificação falsa. Você cai em um site, muitas vezes um site WordPress comprometido mas, fora isso, legítimo, e vê o que parece uma verificação humana padrão da Cloudflare ou um aviso de “otimização do macOS”.
2. Ela pede que você abra o Terminal e cole um comando. Algumas variantes copiam o comando automaticamente para a sua área de transferência e conduzem você: Command+Espaço, abrir o Terminal, colar, apertar Return.
3. Você mesmo o executa. Como foi você quem apertou Return, e não um invasor explorando uma falha, isso passa pela maioria das defesas tradicionais. Uma campanha chega a limpar a janela do Terminal depois e imprimir uma falsa mensagem “Verificação bem-sucedida” para que você não perceba que algo aconteceu.
4. A carga se instala em silêncio. Em geral baixa um arquivo para uma pasta temporária, executa-o em segundo plano com um comando como nohup para que sobreviva ao fechamento do Terminal e começa a coletar dados.

Nenhum CAPTCHA, site ou sistema de verificação legítimo exige que você abra o Terminal e cole alguma coisa. Só esse fato cobre a grande maioria das infecções atuais de Mac. Em março de 2026, a Apple adicionou ao macOS uma medida para avisar os usuários antes de esse tipo de comando rodar, mas novas variantes continuam achando jeitos de contornar avisos simples, então o hábito importa mais que a correção.

Se você já executou um comando de um site no Terminal

Trate o Mac como comprometido agora mesmo, antes de fazer qualquer outra coisa:

1. A partir de outro dispositivo limpo, troque as senhas do seu e-mail, do banco e de qualquer conta para a qual você use um gerenciador de senhas.
2. Procure o indicador do Macfinger. Se o caminho ~/Library/Caches/com.apple.metadata/com.apple.verified existir no seu Mac, um pesquisador de segurança o aponta como sinal dessa campanha específica.
3. Desconecte-se da rede se suspeitar de exfiltração ativa e em andamento e depois continue com as verificações abaixo.
4. Não confie por um tempo nos avisos do Chaveiro. Algumas campanhas tentam especificamente roubar a senha do seu Chaveiro por meio de uma falsa caixa de diálogo do sistema depois que o comando inicial roda. Se aparecer um aviso inesperado de senha do Chaveiro nas horas seguintes, cancele e não digite nada.
5. Anote o que aconteceu: qual site, mais ou menos quando e o que a página pediu que você fizesse. Isso ajuda se precisar denunciar ou pedir ajuda.
6. Não execute o comando de novo, nem o cole em outro lugar para “ver o que ele faz”.

Sinais de que o seu Mac pode estar infectado

• Uso alto e inexplicado de CPU com o Mac parado, visível no Monitor de Atividade.
• Redirecionamentos do navegador, pop-ups inesperados ou um novo mecanismo de busca padrão que você não definiu.
• Avisos falsos de atualização de software aparecendo fora dos Ajustes do Sistema.
• Itens de Início ou itens em segundo plano que você não reconhece.
• Um Mac claramente mais quente ou ventoinhas mais barulhentas sem causa óbvia.

Nenhum desses sinais prova sozinho uma infecção. A própria indexação do Golden Gate depois da atualização também pode disparar CPU e calor; veja o nosso guia de Dados do Sistema se o armazenamento parecer anormalmente cheio ao mesmo tempo. A verificação abaixo é o que de fato confirma, para um lado ou para o outro.

Onde o malware de Mac se esconde

As técnicas de persistência no Mac são bem documentadas e se concentram em poucos locais:

Muito software legítimo também usa esses locais. O que importa é uma entrada que você não reconhece.

Como verificar, passo a passo

1. Monitor de Atividade. Abra-o, ordene por CPU e procure processos que você não reconhece, principalmente os de nomes incomuns ou de aparência aleatória.
2. Itens de Início e Extensões. Ajustes do Sistema > Geral > Itens de Início e Extensões. Clique em tudo que você não reconhece e remova. Confira também a seção “Permitir em Segundo Plano” na mesma tela.
3. LaunchAgents e LaunchDaemons. Abra o Finder, aperte Command+Shift+G e confira cada um destes caminhos:

/Library/LaunchDaemons/
/Library/LaunchAgents/
~/Library/LaunchAgents/

Procure arquivos .plist desconhecidos, principalmente com nomes genéricos ou modificados recentemente. Ordenar cada pasta por data de modificação traz os arquivos recentes para o topo.

4. Perfis de configuração. Ajustes do Sistema > Geral > Gerenciamento de Dispositivos, ou Privacidade e Segurança > Perfis, conforme a sua versão do macOS. Remova qualquer perfil que você não instalou.
5. Extensões do navegador. Confira a página de extensões de cada navegador individualmente e remova tudo que for desconhecido.
6. Arquivos temporários do vetor de infecção. Se você executou um comando no estilo ClickFix, confira em /tmp se há arquivos criados recentemente que você não reconhece.

Removendo o que você encontrar

1. Encerre primeiro o app ou processo suspeito, pelo Monitor de Atividade se ele não encerrar normalmente.
2. Apague o próprio app da pasta Aplicativos.
3. Apague o plist de LaunchAgent ou LaunchDaemon correspondente que você identificou acima.
4. Remova a entrada do Item de Início ou do Item em Segundo Plano.
5. Reinicie o Mac.
6. Reabra o Monitor de Atividade e Itens de Início e Extensões e confirme que nada suspeito reapareceu.
7. Na semana seguinte, fique atento à volta dos sintomas: picos de CPU parado, redirecionamentos do navegador, avisos falsos de atualização ou novos Itens de Início desconhecidos.

Quando só a restauração de fábrica resolve de verdade

A remoção manual funciona para adware simples e sequestradores de navegador. Ela não é confiável contra um infostealer de verdade que já rodou com todas as permissões do usuário, porque você não pode ter certeza de que encontrou e desfez tudo que ele tocou, baixou ou configurou. Se qualquer um destes casos se aplicar, apagar o disco e reinstalar o macOS do zero é o caminho mais seguro:

• Você executou um comando no Terminal de uma página suspeita e o malware teve tempo de rodar antes de você perceber.
• Você forneceu a senha de administrador ou o acesso ao Chaveiro em um aviso que agora acredita fazer parte do ataque.
• Os sintomas continuam voltando depois de você remover tudo que conseguiu encontrar.
• Você lida com dados sensíveis, credenciais ou carteiras de criptomoedas no Mac. Veja o nosso guia do modelo de ameaças das hot wallets se for o seu caso.

Faça backup dos seus arquivos (não dos apps nem dos ajustes do sistema, que poderiam trazer a infecção de volta), apague o disco pela Recuperação e faça uma instalação limpa. Em ordem:

1. Faça backup apenas dos seus documentos e fotos.
2. Apague o Mac, seja com Apagar Todo o Conteúdo e Ajustes em Ajustes do Sistema > Geral > Transferir ou Redefinir, seja pela Recuperação do macOS.
3. Reinstale o macOS.
4. Configure o Mac como novo e traga de volta apenas os seus documentos.
5. Reinstale os seus apps a partir das fontes oficiais, não de um backup antigo.

Depois de trocar as suas senhas

• Encerre todas as sessões das suas contas importantes, onde o serviço permitir.
• Ative a verificação em duas etapas ou chaves de acesso para e-mail, banco e o seu gerenciador de senhas.
• Procure logins ou e-mails de redefinição de senha que você não reconhece.
• Acompanhe de perto os extratos do banco e dos cartões nas próximas semanas.
• Se você usou uma carteira de criptomoedas nesse Mac, trate a frase de recuperação dela como exposta.

Depois da limpeza: feche a porta por onde entrou

• Nunca cole no Terminal um comando tirado de um site, não importa como ele seja apresentado. Nenhum processo de verificação legítimo exige isso.
• Se uma página diz que o seu navegador precisa “provar que não é um robô” de um jeito que envolve o Terminal, feche a aba.
• Mantenha o Gatekeeper e o XProtect ativados e o macOS atualizado. Veja qual atualização de segurança o seu Mac precisa.
• Antes de instalar qualquer app de fora da Mac App Store, veja o nosso guia sobre como verificar se um app é genuíno.

Resumindo

• A maior parte do malware atual de Mac se espalha por ClickFix: um falso CAPTCHA ou página de verificação que engana você para que cole um comando no Terminal por conta própria.
• Se você já executou um comando assim, troque imediatamente as suas senhas importantes a partir de outro dispositivo.
• Confira o Monitor de Atividade, Itens de Início e Extensões, LaunchAgents e LaunchDaemons e os perfis de configuração em busca de qualquer coisa desconhecida.
• Para uma infecção real por infostealer, apagar e reinstalar do zero é mais confiável que a remoção manual.