A maioria dos artigos sobre ransomware no Mac começa ou descartando o assunto (“Mac não pega ransomware”) ou inflando-o (“os ataques estão explodindo”). Nenhuma das duas abordagens é honesta. O histórico documentado é curto, específico e vale a pena ler com atenção, porque ele mostra exatamente para que serve cada camada de uma defesa. Este artigo percorre esse histórico, depois as camadas, e deixa explícito qual delas um firewall cobre e quais ele não cobre.
O que de fato aconteceu no macOS
KeRanger, março de 2016. A Unit 42 da Palo Alto Networks relatou em 6 de março de 2016 que um instalador comprometido do cliente BitTorrent Transmission, baixado do próprio site do projeto, carregava o primeiro ransomware totalmente funcional para OS X. Ele estava assinado com um certificado de desenvolvedor válido, o que permitiu que passasse pelo Gatekeeper. Seu comportamento é a parte que vale lembrar: segundo a Unit 42, ele esperou três dias, depois se conectou aos seus servidores de comando e controle pela rede Tor, e só então começou a criptografar arquivos. A Apple revogou o certificado e atualizou o XProtect em questão de dias.
ThiefQuest, também chamado de EvilQuest, junho de 2020. A Objective-See, de Patrick Wardle, publicou sua primeira análise em 29 de junho de 2020, descrevendo uma amostra que se espalhava por instaladores trojanizados de software pirata e persistia por meio de launch agents e daemons. A ThreatDown (na época Malwarebytes) relatou no dia seguinte que os instaladores piratas incluíam o Little Snitch e o Mixed In Key. A criptografia era quase um detalhe secundário: a amostra também carregava um keylogger e abria um reverse shell para um servidor de comando e controle, e foi por isso que os pesquisadores a renomearam. Era um ladrão de dados fantasiado de ransomware.
LockBit, abril de 2023. O BleepingComputer relatou em 16 de abril de 2023 que haviam sido encontrados encryptors compilados para macOS do LockBit, uma das maiores operações de ransomware como serviço da época. Os pesquisadores que examinaram as builds concluíram que muito provavelmente eram versões de teste, com referências a sistemas incompatíveis e partes faltando de funcionalidades específicas do macOS, e que não estavam prontas para ataques reais. A história importa menos pelo que a build fazia do que pelo que ela sinalizava: uma grande operação criminosa tinha decidido que o Mac merecia um orçamento de engenharia.
Três casos em sete anos não são uma epidemia. Mas cada um deles entrou por um caminho que ainda existe hoje: um download confiável trocado discretamente, software pirata e uma cadeia de suprimentos criminosa industrializada. Uma defesa em camadas é construída em torno desses caminhos, não em torno de um número de manchete.
Camada um: impedir que código não confiável seja executado
A própria documentação de segurança de plataforma da Apple descreve a proteção do macOS contra software hostil em três estágios: impedir que ele seja iniciado (a App Store, o Gatekeeper e a notarização), bloquear sua execução (as mesmas ferramentas mais o XProtect) e remediar depois que ele foi executado (o XProtect de novo). Essa é a camada que barrou o KeRanger em poucos dias assim que a Apple revogou o certificado. É também a camada que o software pirata existe para derrotar: toda vítima do ThiefQuest havia contornado deliberadamente o Gatekeeper para instalar um aplicativo crackeado. O controle mais eficaz contra ransomware em um Mac, portanto, não é um produto. É uma política: nada crackeado, nada vindo de torrent, e nenhum “clique com o botão direito, Abrir” para forçar a passagem por um aviso do Gatekeeper, a menos que você saiba exatamente por que o aviso apareceu.
Camada dois: vigiar a rede, porque ransomware conversa
A criptografia é o último passo, não o primeiro. O MITRE ATT&CK a lista como Data Encrypted for Impact (T1486), uma técnica do estágio de Impacto, e os estágios anteriores envolvem a rede. Uma amostra busca uma chave ou instruções em um servidor de comando e controle; ela pode exfiltrar arquivos antes de criptografá-los, para que o resgate também possa ameaçar com a publicação, o que o ATT&CK cataloga como Exfiltration Over C2 Channel (T1041); o ThiefQuest chegou a rodar um reverse shell. O KeRanger ficou quieto por três dias e então fez sua primeira conexão de saída pelo Tor. Essa primeira conexão é o que um firewall por aplicativo está posicionado para ver.
É aqui que o FireAI se encaixa, e o encaixe é estreito, mas real. O FireAI não detecta criptografia. Ele não observa arquivos mudando, não analisa processos nem memória e não consegue descriptografar nada. O que ele faz é tratar cada conexão de saída como uma decisão. Um binário que nunca se conectou antes dispara um pedido de permissão, com o motivo do modelo local exibido ao lado; o mesmo modelo pode bloquear ou sinalizar sozinho uma conexão de um aplicativo desconhecido para um destino suspeito. Os feeds de inteligência de ameaças que o FireAI aplica localmente incluem a lista de nós de saída do Tor, abuse.ch, Spamhaus, FireHOL e listas de phishing, então uma primeira conexão a uma infraestrutura criminosa conhecida é bloqueada por regra, e não por julgamento. E se você suspeitar que algo está rodando, o kill switch corta o acesso à internet mantendo a rede local, o que quebra o link de comando e controle sem desligar da tomada uma máquina de que você pode precisar para a perícia.
Sejamos claros sobre os modos de falha. Uma amostra que criptografa sem nunca se conectar, usando uma chave embutida no próprio código, é invisível para um firewall. Uma amostra que usa um aplicativo já aprovado, um navegador por exemplo, para chegar ao seu servidor se mistura ao tráfego permitido. Um firewall reduz as chances de o ataque ser silencioso e completo; ele não torna a criptografia impossível.
Camada três: backups que o invasor não consegue alcançar
Se um evento de criptografia vai ser uma tarde ruim ou uma semana que acaba com um negócio é algo decidido inteiramente por esta camada. O #StopRansomware Guide da CISA a coloca em primeiro lugar entre os passos de preparação: manter backups offline e criptografados dos dados críticos e testá-los regularmente, e considerar armazenamento imutável que proteja os dados guardados sem precisar de um ambiente separado. A palavra que faz o trabalho é offline. Um disco do Time Machine permanentemente conectado é um volume montado, e um volume montado é um alvo; uma pasta de sincronização na nuvem não é backup nenhum se ela sincronizar fielmente as versões criptografadas dos seus arquivos por cima dos originais.
Em um Mac, a versão prática é direta. O guia da Apple sobre o Time Machine cobre a configuração de backups automáticos para um disco externo ou para um volume de rede compatível. Alterne dois discos e mantenha um deles desconectado, ou pelo menos ejete o disco entre os backups. Mantenha uma segunda cópia em algum lugar que versione os arquivos em vez de espelhá-los, para que a versão limpa de ontem sobreviva à sobrescrita de hoje. Depois teste a restauração de um arquivo real, a partir do disco desconectado, para saber que o processo funciona antes de precisar dele sob pressão. O FireAI não tem nenhum papel nesta camada, e vale dizer isso: nenhum firewall faz backup de coisa alguma.
Camada quatro: limitar o que um único Mac consegue alcançar
Nas empresas, o ransomware faz a maior parte do estrago no armazenamento compartilhado, e um Mac com um compartilhamento montado pode criptografar tudo em que consegue escrever. Dê às pessoas acesso de escrita apenas aos compartilhamentos que elas realmente usam, e dê às contas de serviço credenciais próprias, para que um único login comprometido não abra o servidor de arquivos inteiro. No próprio Mac, as regras por aplicativo do FireAI permitem que você decida quais aplicativos podem sequer chegar ao seu NAS, aos seus hosts de armazenamento na nuvem ou à rede do escritório: um binário desconhecido que tenta chegar ao servidor de arquivos na porta 445 precisa passar por uma regra que nunca lhe foi concedida. Os modos de segurança mais rígidos, Paranoid e Under attack, vão além e recusam completamente o acesso à rede para aplicativos não assinados.
Se acontecer mesmo assim
- Desconecte o Mac da rede primeiro. O kill switch do FireAI faz isso mantendo a rede local disponível; puxar o cabo faz isso de forma mais completa.
- Não pague antes de ter conferido seus backups. O guia da CISA percorre o isolamento, a triagem e a notificação antes de qualquer decisão sobre um resgate.
- Preserve a máquina. Apagá-la destrói as evidências que mostram como a amostra entrou e o que ela enviou para fora.
- Denuncie. Nos Estados Unidos, à CISA ou ao FBI; na França, ao Cybermalveillance.gouv.fr e com uma queixa à polícia; em outros países, ao CERT nacional.
- Restaure a partir da cópia offline em uma instalação limpa, não sobre o sistema comprometido.
O que “defesa completa” significa, honestamente
Nenhuma ferramenta isolada é uma defesa contra ransomware, e qualquer fornecedor que diga o contrário está vendendo uma camada como se fossem quatro. O Gatekeeper e a sua própria disciplina de downloads impedem que a maior parte do código hostil seja executada. Um firewall por aplicativo faz o código que chega a rodar pedir antes de falar, e bloqueia os destinos que já são conhecidos como criminosos. Backups offline tornam a criptografia sobrevivível. O privilégio mínimo nos compartilhamentos impede que um Mac comprometido vire um incidente para o escritório inteiro. As camadas se sobrepõem de propósito, porque cada uma tem um buraco que as outras cobrem. É assim que se parece uma defesa que funciona: não impenetrável, mas construída para que nenhuma falha isolada seja fatal.
Onde FireAI e HisnLabs entram nessa história
As duas famílias de ransomware para Mac mais bem documentadas, KeRanger e ThiefQuest, conversaram com um servidor antes ou durante a criptografia — e ficar de olho nessa conversa, vinda de um binário que nunca se conectou antes, é a única parte da defesa que um firewall por aplicativo como o FireAI pode reivindicar com honestidade.
O FireAI é o produto da HisnLabs: um firewall com IA que roda direto no seu Mac. Ele mostra, em linguagem simples, cada conexão que seus aplicativos fazem e deixa você decidir o que sai do seu Mac — a IA roda localmente, então seu tráfego nunca é enviado para nós nem para ninguém. A equipe de pesquisa em segurança da HisnLabs é quem mantém essas decisões confiáveis: cataloga quais domínios são telemetria comum e quais são um serviço de verdade, rastreia o país e a rede por trás de uma conexão e treina o modelo local (o recurso Autopilot) com padrões reais de tráfego, sem que nada disso saia do seu Mac.
Você pode ler as decisões técnicas por trás dele, ou testar o FireAI por 17 dias, em FireAI, da HisnLabs.