Campaña ClickFix en macOS distribuye infostealers

Introducción

Microsoft está siguiendo una campaña ClickFix en evolución que ahora apunta a usuarios de macOS mediante contenido falso de solución de problemas e instrucciones fraudulentas para instalar utilidades. Esto importa porque el ataque se aleja de las descargas tradicionales de aplicaciones y, en su lugar, abusa de comandos de Terminal, lo que ayuda a los atacantes a evitar algunas de las protecciones que los usuarios esperan de las instalaciones estándar de aplicaciones en macOS.

Qué hay de nuevo

Microsoft afirma que los actores de amenazas están publicando consejos falsos sobre macOS en sitios web independientes, Medium, Craft y plataformas similares impulsadas por usuarios. Los señuelos suelen afirmar que ayudan con problemas comunes, como liberar espacio en disco o corregir fallos del sistema.

Los cambios clave en esta campaña incluyen:

• Se indica a los usuarios que peguen comandos codificados en Base64 u ofuscados en Terminal
• Los comandos recuperan contenido remoto e inician loaders basados en scripts
• Los atacantes usan herramientas nativas como curl, osascript e intérpretes de shell
• Este método evita las comprobaciones normales de estilo Gatekeeper aplicadas a los paquetes de aplicaciones abiertos en Finder
• Las cargas útiles observadas incluyen Macsync, SHub Stealer y AMOS

Microsoft también identificó tres rutas de ejecución:

• Campaña de instalación de loader
• Campaña de instalación mediante script
• Campaña de instalación de helper

En todas estas variantes, el objetivo es consistente: recopilar credenciales y archivos sensibles, establecer persistencia y exfiltrar datos.

Por qué importa para los administradores de TI

El malware va más allá del simple robo de credenciales. Según Microsoft, estos infostealers pueden recopilar:

• Entradas de Keychain
• Datos de cuentas de iCloud
• Credenciales del navegador
• Datos de Telegram
• Archivos multimedia y documentos
• Datos de wallets de criptomonedas

Algunas variantes también reemplazan aplicaciones legítimas de wallets de criptomonedas por versiones troyanizadas, lo que aumenta el riesgo de robo financiero.

Para los equipos de seguridad, la mayor preocupación es la ejecución impulsada por el usuario. Como la víctima ejecuta manualmente comandos en Terminal, los atacantes reducen la dependencia de paquetes de aplicaciones maliciosas y aumentan la probabilidad de comprometer el sistema con éxito.

Acciones recomendadas

Los administradores y equipos de seguridad deben seguir estos pasos:

• Educar a los usuarios para que no peguen comandos en Terminal desde blogs, foros o páginas de solución de problemas
• Supervisar el uso sospechoso de curl, osascript, intérpretes de shell y la creación inesperada de LaunchAgent o LaunchDaemon
• Investigar rutas de preparación como /tmp/shub_<random ID> y la creación inusual de archivos comprimidos en /tmp
• Revisar detecciones de exfiltración de datos, solicitudes de credenciales y persistencia vinculada a servicios de actualización falsos
• Priorizar la protección de aplicaciones relacionadas con criptomonedas y almacenes de datos sensibles del usuario como Keychain

Conclusión

Esta campaña ClickFix en macOS muestra cómo la ingeniería social está adaptándose para eludir las defensas tradicionales basadas en aplicaciones. Para los defensores, la concienciación del usuario, la supervisión de endpoints y la detección de ejecución sospechosa de scripts son ahora fundamentales para detener estas cadenas de infostealers antes de que se roben los datos.