ClickFix, un nuevo malware para macOS, ha sido detectado en una campaña que afecta a entornos empresariales, permitiendo el robo de información y acceso remoto persistente. Investigadores de Netskope Threat Labs revelaron que esta amenaza utiliza técnicas avanzadas de ingeniería social para engañar a los usuarios y evadir las protecciones nativas del sistema.
Por qué importa: ClickFix representa un riesgo significativo para la seguridad de las flotas de dispositivos Apple en empresas, al combinar un robo de credenciales con la instalación de un troyano de acceso remoto difícil de detectar.
Lo esencial
- ClickFix usa sitios web falsos para inducir a usuarios a ejecutar comandos maliciosos en Terminal.
- El malware roba contraseñas, cookies y datos de apps de mensajería tras obtener la contraseña de macOS.
- Modifica y reemplaza aplicaciones de criptomonedas para evadir Gatekeeper y mantener acceso persistente.
Cadena de infección sin archivos visibles
La campaña se basa en la ingeniería social para que las víctimas visiten sitios web falsos que simulan servicios legítimos, como utilidades de optimización o soporte técnico. Estos sitios colocan en el portapapeles un comando que, al pegarse y ejecutarse en Terminal, descarga y ejecuta un script en memoria sin dejar archivos en disco. Esta técnica evita la detección por antivirus tradicionales.
Robo de credenciales y acceso al llavero
Tras la ejecución inicial, el malware muestra un falso cuadro de diálogo de Preferencias del Sistema solicitando la contraseña del usuario. Si se ingresa, ClickFix desbloquea el llavero de macOS para extraer contraseñas guardadas, cookies de sesión y datos de aplicaciones de mensajería, comprometiendo información sensible almacenada en el dispositivo.
