Clickfix en macOS: Campaña de Malware con AppleScript Usa Indicaciones de Terminal para Robar Datos

Resumen

La campaña de malware AppleScript apunta a los usuarios de macOS a través de una técnica llamada ClickFix, persuadiéndolos para que ejecuten manualmente comandos de shell decodificados en base64 en Terminal. Estos comandos recuperan un ladrón de AppleScript que recopila datos del navegador, carteras de criptomonedas, documentos locales y otra información sensible, luego la exfiltra a servidores controlados por atacantes. Debido a que no se escribe ningún binario tradicional en el disco, la actividad es más difícil de detectar con antivirus clásicos. La operación se basa en múltiples dominios engañosos y puertos de servicios inusuales para el tráfico de comando y control.

Análisis de la Campaña AppleScript

Los investigadores examinaron los sitios web de phishing, el JavaScript responsable de entregar la carga útil y el AppleScript utilizado para la recolección y exfiltración. El mapeo de la infraestructura descubrió dominios como cryptoinfo-news.com and odyssey1.to, junto con servicios expuestos en los puertos 22, 80, 3333 y 5201. La carga útil de AppleScript empaqueta los datos robados en un archivo ZIP en /tmp/out.zip y usa curl para subirlo a un endpoint remoto.

Mitigación

Los defensores deben bloquear los dominios maliciosos identificados y limitar las conexiones salientes en puertos poco comunes. Fortalecer los hosts macOS restringiendo el uso de AppleScript y shell, monitoreando patrones de ejecución de base64-d | bash , y aplicando estrictos controles CORS en entornos web. El entrenamiento de concienciación de seguridad debe destacar las páginas de phishing que instruyen a los usuarios a copiar-pegar y ejecutar comandos de Terminal.

Respuesta

Cuando se detecten estos patrones de indicadores, notificar al SOC, aislar el sistema afectado y capturar artefactos temporales e historial de shell. Realizar una revisión forense del directorio /tmp , poner en cuarentena cualquier archivo ZIP sospechoso y correlacionar el tráfico saliente con los servidores C2 y puertos conocidos identificados en la campaña.

Ejecución de Simulación

Prerequisito: El Check de Pre‑vuelo de Telemetría y Línea Base debe haber pasado.

Razonamiento: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa reflejan directamente los TTPs identificados y buscan generar la telemetría exacta esperada por la lógica de detección.

• Narrativa y Comandos del Ataque:

  1. El atacante envía un correo electrónico de phishing que contiene el comando de una sola línea:

     echo "cHJpbnQoJ0NhdXNlJykK" | base64 -d | bash

     (La carga útil se decodifica aprint('Cause')– un marcador de posición para cualquier script de Bash malicioso.)

  2. Un usuario desprevenido copia la línea y la pega en el Terminal.

  3. macOS genera un proceso debashcuyo comando exactocoincidecon el patrónbase64 -d | bash, cumpliendo con laselección.

  4. de la regla Sigma.

• El intérprete de Bash ejecuta la carga útil decodificada, completando la acción maliciosa (por ejemplo, establecer un shell inverso, descargar herramientas adicionales).Script de Prueba de Regresión:

  El siguiente script automatiza los pasos 1-3, reproduciendo la telemetría necesaria para la validación.

• #!/bin/bash # ————————————————- # Simular ejecución de Decodificación Base64 y Bash en macOS # ————————————————- # Carga útil codificada en Base64 (imprime “Compromiso”) PAYLOAD=»cHJpbnQoJ0NvbXByb21pc2UnKQ==» # Ejecutar la línea tal como lo haría un atacante echo «$PAYLOAD» | base64 -d | bash # Salir con el estado del comando Bash exit $?Comandos de Limpieza:

  #!/bin/bash
  # Limpieza simple – asegurarse de que no queden procesos secundarios Bash
  pkill -f "base64 -d | bash" 2>/dev/null
  # Si la carga útil creó archivos, eliminarlos (ejemplo de marcador de posición)
  rm -f /tmp/malicious_script.sh 2>/dev/null