ClickFix: La estafa que engaña a los usuarios de Mac para que instalen el troyano AMOS

Redazione RHC : 23 septiembre 2025 16:26

Ciberdelincuentes han lanzado una campaña a gran escala contra usuarios de macOS, disfrazando malware de programas populares. LastPass informó de ello tras descubrir que su producto también había sido falsificado . El malware se distribuye a través de repositorios falsos de GitHub optimizados para motores de búsqueda, lo que le permite aparecer en los primeros resultados de búsqueda de Google y Bing.

El ataque utiliza el esquema ClickFix : se solicita a la víctima que introduzca un comando en la terminal, supuestamente para instalar una aplicación. En realidad, la víctima ejecuta una solicitud curl a una URL cifrada y descarga el script install.sh en el directorio /tmp .

Este archivo instala el troyano Atomic Stealer (AMOS) en su ordenador. AMOS es una herramienta de malware como servicio (MaaS) cuyo alquiler cuesta 1000 $ al mes . Su función básica es robar datos de dispositivos infectados, pero sus creadores añadieron recientemente una puerta trasera para acceder al sistema de forma sigilosa y persistente.

Según LastPass, los estafadores no solo copian una marca. La lista de programas falsificados supera los 100 e incluye soluciones como 1Password, Dropbox, Confluence, Robinhood, Fidelity, Notion , Gemini, Audacity, Adobe After Effects, Thunderbird y SentinelOne.

Para evadir las restricciones, los estafadores crean varias cuentas falsas de GitHub y duplican repositorios con un botón de «Descargar» . Al hacer clic en este botón, se accede a un sitio web secundario con instrucciones para ejecutar un comando en la terminal.

Se han documentado previamente escenarios similares para macOS. Informes anteriores incluían copias de Booking.com y pseudoprogramas para «solucionar» problemas del sistema, distribuidos mediante anuncios . La campaña actual es mucho más amplia: la automatización permite la rápida reactivación de nuevas páginas tras un bloqueo.

LastPass enfatiza que monitorea constantemente la situación y envía informes de proyectos falsos a la administración de GitHub , pero la amenaza persiste debido a la facilidad de crear nuevos recursos.

Los expertos recuerdan a los usuarios que deben confiar únicamente en los sitios web oficiales de los desarrolladores. Si el fabricante no ofrece una versión para macOS de un producto, la «alternativa» será casi con toda seguridad maliciosa.

En los casos en que una aplicación esté disponible, es importante verificar que sea distribuida por una fuente confiable y no por un tercero desconocido.

Redazione
Red Hot Cyber's editorial team consists of a collection of individuals and anonymous sources who actively collaborate by providing advance information and news on cyber security and IT in general.

Lista degli articoli