Campaña macOS ClickFix: Ladrones AppleScript y Nuevas Protecciones de Terminal

Resumen

Netskope Threat Labs ha identificado una campaña de ClickFix multiplataforma que apunta a usuarios de macOS con un infostealer basado en AppleScript. El malware se entrega a través de una página de ingeniería social engañosa que convence a las víctimas de copiar y pegar un comando malicioso en Terminal. Una vez ejecutado, el script recopila contenidos del llavero, cookies del navegador, datos de extensiones y archivos de billeteras de criptomonedas, y luego envía la información robada a través de solicitudes HTTP POST. La campaña también utiliza cuadros de diálogo falsos persistentes para engañar a los usuarios a que ingresen su contraseña del sistema.

Investigación

El informe explica que la página de destino maliciosa primero filtra visitantes por agente de usuario antes de servir un cargador de AppleScript específicamente adaptado para sistemas macOS. Después de la ejecución, el malware crea un directorio de puesta en escena temporal, reúne credenciales y datos relacionados con billeteras, comprime los archivos recopilados con el comando ditto y sube el archivo alavado a una dirección de comando y control definida internamente. Los investigadores también documentaron el abuso de los Servicios de Directorio de macOS para validar la contraseña de la víctima en tiempo real, junto con la amplia gama de navegadores y aplicaciones de billeteras de criptomonedas objetivo.

Mitigación

Netskope recomienda que los usuarios de macOS actualicen a las versiones más recientes de macOS Tahoe 26.4 o macOS Sequoia, que introducen advertencias nativas en Terminal para comandos pegados. Los usuarios también deben evitar ejecutar comandos copiados de sitios web no confiables, verificar cuidadosamente todos los avisos de credenciales, y habilitar la autenticación de múltiples factores siempre que sea posible. Se alienta a las organizaciones a monitorear diálogos impulsados por AppleScript sospechosos y tráfico HTTP POST inusual dirigido a infraestructuras desconocidas.

Respuesta

Los defensores deben detectar y bloquear la ejecución de archivos AppleScript desconocidos y observar la creación del directorio de puesta en escena /tmp/xdivcmp/ . También se deben configurar alertas para actividades POST HTTP de sistemas macOS a dominios o direcciones IP no comunes. Cualquier cuadro de diálogo recurrente solicitando contraseñas del sistema debe ser tratado como sospechoso, y los puntos finales afectados deben ser aislados de inmediato para una investigación forense.

Ejecución de Simulación

Prerrequisito: El chequeo preliminar de la Telemetría y Línea Base debe haber pasado.

• Narrativa de Ataque y Comandos:

  1. Reconocimiento: El atacante primero enumera el llavero del usuario actual para identificar los elementos almacenados.
  2. Volcado de Credenciales: Usando security dump-keychain, el atacante extrae la base de datos completa del llavero a un archivo temporal.
  3. Puesta en Escena: El volcado se copia en un directorio de puesta en escena oculto /tmp/.xdivcmp/ (reflejando la regla directorio de puesta en escena /tmp/xdivcmp/ del camino).
  4. Ofuscación: El directorio de puesta en escena se marca como oculto (chflags hidden).
  5. Preparación para Exfiltración: Los archivos se comprimen en payload.zip listos para la transferencia saliente.

• Script de Prueba de Regresión:

  #!/bin/bash
  set -euo pipefail
  
  # 1. Crear directorio de puesta en escena oculto (coincide con el camino de la regla)
  STAGING_DIR="/tmp/.xdivcmp"
  mkdir -p "$STAGING_DIR"
  chflags hidden "$STAGING_DIR"
  
  # 2. Volcar el llavero (requiere interacción del usuario; simulado con una copia de la base de datos)
  KEYCHAIN_SRC="/Users/$(whoami)/Library/Keychains/login.keychain-db"
  KEYCHAIN_DUMP="${STAGING_DIR}/login.keychain-db.dump"
  
  # Simular volcado copiando la base de datos (un atacante real usaría `security dump-keychain`)
  cp "$KEYCHAIN_SRC" "$KEYCHAIN_DUMP"
  
  # 3. Comprimir para exfiltración
  zip -j "${STAGING_DIR}/payload.zip" "$KEYCHAIN_DUMP"
  
  echo "[+] Simulación de ClickFix completa – archivos de puesta en escena ubicados en $STAGING_DIR"

• Comandos de Limpieza:

  #!/bin/bash
  set -euo pipefail
  
  STAGING_DIR="/tmp/.xdivcmp"
  
  if [[ -d "$STAGING_DIR" ]]; then
      rm -rf "$STAGING_DIR"
      echo "[+] Directorio de puesta en escena limpiado."
  else
      echo "[*] No se encontró directorio de puesta en escena; nada que limpiar."
  fi