Ha surgido una sofisticada campaña de phishing dirigida a usuarios de macOS, que utiliza correos electrónicos falsos de cumplimiento normativo como mecanismo de entrega de malware avanzado.

Chainbase Lab detectó recientemente esta campaña, que se hace pasar por notificaciones legítimas de auditoría y cumplimiento para engañar a los usuarios.

La cadena de ataque combina ingeniería social con cargas útiles sin archivos en múltiples etapas, diseñadas para robar credenciales y establecer acceso remoto persistente en las máquinas de las víctimas.

Los atacantes comienzan pidiendo a los usuarios que confirmen el nombre legal de su empresa, para luego enviar mensajes que fingen ser de auditores financieros o administradores de token vesting, completos con archivos adjuntos maliciosos.

El ataque se desarrolla a través de pasos cuidadosamente orquestados que engañan a los usuarios para que abran documentos armados. Los correos iniciales piden a los destinatarios que proporcionen información básica de la empresa, estableciendo confianza antes de que llegue la segunda ola.

Cuando las víctimas responden, los atacantes envían mensajes de seguimiento con líneas de asunto que hacen referencia a plazos como “Auditoría Externa FY2025” o “Confirmación de Token Vesting”.

Estos mensajes contienen archivos adjuntos disfrazados de archivos Word o PDF, pero en realidad son archivos AppleScript que utilizan extensiones dobles para ocultar su verdadera naturaleza.

Los analistas de SlowMist identificaron que el malware emplea un proceso de infección en múltiples etapas, donde el archivo AppleScript inicial sirve como punto de entrada para descargar y ejecutar código malicioso adicional.

Los investigadores de SlowMist señalaron que el vector principal de infección utiliza un archivo llamado “Confirmation_Token_Vesting.docx.scpt”, que parece legítimo pero se ejecuta como un script.

El AppleScript de primera etapa abre ventanas falsas de configuración del sistema que muestran barras de progreso de actualización de software para distraer a los usuarios mientras ejecuta código malicioso en segundo plano.

El script recopila información del sistema, como la arquitectura de la CPU y la versión de macOS, para luego descargar cargas útiles adicionales desde el dominio sospechoso sevrrhst[.]com.

Evasión de detección mediante falsos avisos del sistema

La evasión de detección del malware depende en gran medida de mostrar diálogos de permisos del sistema convincentes que imitan alertas de seguridad de macOS.

Estos falsos avisos incorporan elementos de avatar de Google para parecer legítimos, engañando a los usuarios para que ingresen sus contraseñas de administrador.

Una vez que se introduce una contraseña, el script la valida contra el sistema y exfiltra inmediatamente las credenciales al servidor remoto utilizando codificación Base64.

Además del robo de credenciales, el malware intenta eludir las protecciones TCC de macOS inyectando sentencias SQL directamente en la base de datos de privacidad, otorgándose silenciosamente acceso a la cámara, permisos de grabación de pantalla y capacidades de monitoreo del teclado.

Este mecanismo de persistencia permite al atacante mantener un acceso a largo plazo y ejecutar comandos arbitrarios a través de un entorno de ejecución Node.js establecido en la máquina comprometida.

La infraestructura que respalda esta campaña utiliza dominios desechables registrados a finales de enero de 2026, con el servidor de comando en sevrrhst[.]com resolviendo a la IP 88.119.171.59, que aloja más de diez dominios maliciosos similares utilizados para reutilizar infraestructura.