“Spyware” cobre três coisas bem diferentes em um Mac, e a resposta certa para cada uma é diferente. Colocar tudo no mesmo saco é como as pessoas acabam comprando a ferramenta errada ou, pior, dando um passo que as coloca em mais perigo. Este artigo separa os três, lista os sinais que realmente valem a pena procurar, aponta os caminhos de remoção que fontes confiáveis recomendam e depois diz onde um firewall por aplicativo como o FireAI se encaixa e, com a mesma clareza, onde não se encaixa. O FireAI não detecta spyware no disco e não o remove.
Três tipos de spyware
Stalkerware é um software comercial instalado por alguém que tem, ou teve, acesso ao seu Mac e à sua senha: um parceiro, um familiar, um empregador. A Coalition Against Stalkerware, fundada em 2019 por organizações de combate à violência doméstica e empresas de segurança, o define como ferramentas que “permitem que alguém espione secretamente a vida privada de outra pessoa”, rodando escondidas e sem o consentimento da pessoa afetada. Costuma ser vendido com o rótulo de controle parental ou monitoramento de funcionários, e reporta a quem o instalou.
Infostealers são o oposto em todos os sentidos: automatizados, impessoais e rápidos. Chegam como um aplicativo pirata, uma atualização falsa ou um download promovido por um anúncio de busca, pedem sua senha de login em uma caixa de diálogo convincente, copiam senhas do navegador, cookies e arquivos de carteiras, enviam o pacote de uma vez só e muitas vezes se apagam sozinhos. Não há vigilância contínua para notar; o dano é feito em segundos.
Spyware mercenário é o mais raro e o mais capaz. A página da Apple sobre notificações de ameaça descreve esses ataques como “excepcionalmente bem financiados” e “muito mais sofisticados do que a atividade cibercriminosa comum”, historicamente associados a atores estatais e a empresas como o NSO Group, cuja ferramenta Pegasus o Citizen Lab documentou em detalhes, e voltados a jornalistas, ativistas, políticos e diplomatas. A Apple afirma sem rodeios que “a grande maioria dos usuários nunca será alvo”.
Os sinais que realmente significam algo
A maioria das listas de “sinais de que seu Mac está infectado” vem recheada de sintomas (lentidão, aquecimento, bateria quente) que descrevem quase todo Mac com um navegador aberto. O spyware moderno é feito para ser silencioso, e os sinais úteis são estruturais, não ligados ao desempenho:
- Permissões que você não concedeu. Abra Ajustes do Sistema, Privacidade e Segurança, e leia as listas Acessibilidade, Monitoramento de Entrada, Gravação de Tela e Áudio do Sistema, Acesso Total ao Disco e Microfone, que a Apple documenta em Alterar os ajustes de Privacidade e Segurança no Mac. O stalkerware precisa delas para registrar teclas e capturar a tela, e um nome que você não reconhece nessas listas é o sinal mais concreto que existe.
- Itens que iniciam sozinhos. Em Geral, Itens de Início e Extensões, a Apple lista os aplicativos que abrem no login e os autorizados a rodar em segundo plano. Qualquer coisa que você não adicionou entra na sua lista de perguntas.
- Perfis de configuração ou gerenciamento de dispositivo em que você não se inscreveu, visíveis em Privacidade e Segurança, Perfis.
- Extensões de navegador que você não instalou, e um mecanismo de busca padrão alterado.
- Uma notificação de ameaça da Apple, entregue por e-mail no endereço da sua Conta Apple e como um banner em account.apple.com depois de entrar. A Apple diz que são alertas de alta confiança; também avisa que nunca pede para abrir um link ou instalar qualquer coisa nelas.
- Conexões de saída de um processo do qual você nunca ouviu falar, principalmente no login ou em horários fixos. É aqui que um monitor de rede justifica o seu lugar, e é o sinal que os outros cinco não conseguem mostrar.
Mais um cuidado com os sinais: ausência de evidência não é evidência de ausência. Um Mac com listas de permissões limpas e sem itens de início desconhecidos ainda pode ter sido atingido por um infostealer que terminou o trabalho e se apagou semanas atrás, e é por isso que um gerenciador de senhas, senhas únicas e autenticação de dois fatores em todas as contas importam mais do que qualquer verificação depois do fato. Se você encontrar qualquer um dos sinais acima, troque suas senhas a partir de outro dispositivo antes de fazer qualquer outra coisa no Mac suspeito.
O que a Apple oferece
Dois mecanismos da Apple são diretamente relevantes. O Modo de Isolamento, disponível no macOS Ventura e posteriores, é uma troca deliberada de conveniência por menos superfície de ataque: a maioria dos tipos de anexo do Mensagens é bloqueada, tecnologias web complexas são desativadas, ligações do FaceTime de pessoas para quem você não ligou recentemente são recusadas, acessórios com fio exigem que o Mac esteja desbloqueado, e perfis de configuração não podem ser instalados. A Apple o descreve como destinado a pessoas que enfrentam ataques “extremamente raros e altamente sofisticados”, e quando o Citizen Lab relatou a cadeia de exploração BLASTPASS em 2023, tanto o laboratório quanto a Apple disseram acreditar que o Modo de Isolamento bloqueou aquele ataque específico.
O segundo é o XProtect, que o Guia de Segurança das Plataformas da Apple descreve como capaz de detectar e remover famílias conhecidas de software hostil quando são executadas ou quando novas assinaturas chegam. Isso cobre, silenciosamente, infostealers e produtos de stalkerware que a Apple já catalogou, e é por isso que manter o macOS atualizado é o primeiro e mais barato passo de prevenção. Não cobre um produto para o qual a Apple ainda não adicionou uma regra.
Como verificar, e o que remove
Para uma primeira olhada gratuita no que está configurado para rodar de forma persistente, o KnockKnock, da fundação sem fins lucrativos Objective-See, lista launch agents e daemons, itens de início, extensões de navegador, tarefas cron e outros locais de persistência, mostra o status de assinatura de código de cada item e pode checá-los no VirusTotal. Ele responde à pergunta “quem está aí?” em vez de remover qualquer coisa, o que, em um caso de stalkerware, muitas vezes é exatamente o que você quer antes de decidir o que fazer.
Para remover famílias conhecidas de spyware e infostealers, o Malwarebytes para Mac oferece um scanner gratuito que a empresa descreve como uma ferramenta de limpeza para infecções que já aconteceram. Para qualquer coisa que você não consiga identificar ou limpar, o Suporte da Apple é o primeiro contato certo, e o último recurso que a Apple documenta é uma reinstalação limpa do macOS a partir da Recuperação, depois de fazer backup dos seus arquivos, restaurando em seguida apenas documentos, não aplicativos, a partir desse backup.
Dois casos exigem uma ordem diferente de operações. Se você suspeita de stalkerware instalado por alguém próximo, a Coalition Against Stalkerware e as organizações de combate à violência doméstica aconselham pensar na segurança antes da remoção: remover o software alerta a pessoa que o instalou, e as evidências na máquina podem importar mais tarde. Se você receber uma notificação de ameaça da Apple, o conselho da própria Apple é ativar o Modo de Isolamento, atualizar todos os dispositivos e entrar em contato com a Linha de Ajuda de Segurança Digital da Access Now, um serviço gratuito, disponível 24 horas, para pessoas em risco. Spyware mercenário é trabalho para especialistas forenses, não para um scanner.
Mantendo longe
A prevenção é, em grande parte, uma lista curta de hábitos que a própria documentação da Apple apoia. Instale as atualizações no dia em que saem. Não contorne o Gatekeeper para rodar um aplicativo de um desenvolvedor desconhecido; a página de suporte da Apple sobre essa caixa de diálogo chama isso de a forma mais comum de um Mac ser infectado. Nunca digite sua senha de login em uma caixa de diálogo aberta por um aplicativo que você acabou de baixar. Use uma conta padrão (não administrador) separada para o trabalho do dia a dia. Revise as listas de permissões de Privacidade e Segurança a cada poucos meses e remova o que você não usa. Se o seu trabalho coloca você em risco, ative o Modo de Isolamento e aceite o atrito.
O passo que nenhuma dessas medidas cobre é a rede. Todo tipo de spyware, do produto de stalkerware mais barato ao Pegasus, precisa reportar a alguém, e faz isso por uma conexão de saída de um processo no seu Mac. Um firewall por aplicativo coloca esse passo na sua frente. No FireAI, um aplicativo que nunca se conectou antes recebe um pedido de permissão com o motivo dado pelo modelo local, então uma ferramenta de monitoramento instalada enquanto você estava fora não consegue ligar para casa em silêncio na primeira vez. Seus feeds de inteligência de ameaças (abuse.ch, Spamhaus, Phishing Army, OpenPhish, FireHOL e a lista atual de nós de saída do Tor) recusam localmente destinos hostis conhecidos, sem que o seu tráfego saia do Mac. O modo Paranoico bloqueia por padrão aplicativos não assinados, telemetria e rastreadores, e o mapa ao vivo mostra para onde vai cada conexão, o que é um jeito rápido de notar um processo desconhecido falando com um país inesperado. A proteção de dados não criptografados impede que um número de cartão, uma senha ou uma chave de API saiam por HTTP simples, que é como alguns stalkerwares mais baratos ainda reportam.
Os limites merecem a mesma clareza. O FireAI não escaneia arquivos, não detecta spyware no disco e não remove nada. Spyware que se esconde dentro de um aplicativo que você já autorizou, ou que envia tráfego criptografado para um destino com reputação limpa, não é distinguido do tráfego comum. Spyware mercenário que roda dentro de um processo do sistema herda as permissões desse processo. Um firewall dá a você visibilidade sobre o único passo que o spyware não pode pular; a remoção é trabalho das ferramentas e das pessoas citadas acima, e a prevenção começa pelos hábitos de conta, atualização e permissões, que não custam absolutamente nada.
Onde FireAI e HisnLabs entram nessa história
O FireAI não encontra nem remove spyware; o que ele dá a você é o único sinal que toda família de spyware compartilha, o momento em que um processo desconhecido no seu Mac tenta reportar a alguém, com a escolha de dizer não.
O FireAI é o produto da HisnLabs: um firewall com IA que roda direto no seu Mac. Ele mostra, em linguagem simples, cada conexão que seus aplicativos fazem e deixa você decidir o que sai do seu Mac — a IA roda localmente, então seu tráfego nunca é enviado para nós nem para ninguém. A equipe de pesquisa em segurança da HisnLabs é quem mantém essas decisões confiáveis: cataloga quais domínios são telemetria comum e quais são um serviço de verdade, rastreia o país e a rede por trás de uma conexão e treina o modelo local (o recurso Autopilot) com padrões reais de tráfego, sem que nada disso saia do seu Mac.
Você pode ler as decisões técnicas por trás dele, ou testar o FireAI por 17 dias, em FireAI, da HisnLabs.