El Atomic macOS Stealer (AMOS), un conocido malware de robo de datos, ha cambiado radicalmente su método de propagación. En lugar de ocultarse dentro de descargas de software pirateado como solía hacer, los actores de amenazas ahora lo incrustan en habilidades maliciosas de OpenClaw —pequeños paquetes adicionales que amplían las capacidades de los agentes de IA en plataformas como OpenClaw—.

Atomic macOS Stealer (AMOS), un malware de robo de datos conocido, ha dado un giro brusco en la forma en que llega a sus víctimas.

En lugar de esconderse dentro de descargas de software pirateado como solía hacer, los actores de amenazas ahora lo incrustan en habilidades maliciosas de OpenClaw —pequeños paquetes adicionales que amplían las capacidades de los agentes de IA en plataformas como OpenClaw.

AMOS funciona como una herramienta de malware como servicio (MaaS) diseñada para robar datos sensibles de usuarios de Apple.

Recopila una amplia gama de información, incluyendo credenciales, datos del navegador, detalles de carteras de criptomonedas, chats de Telegram, perfiles de VPN, elementos del llavero de Apple y archivos de carpetas comunes como Escritorio, Documentos y Descargas.

Analistas de Trend Micro identificaron una nueva variante de AMOS incrustada en habilidades de OpenClaw y rastrearon la campaña en múltiples repositorios.

Los actores de amenazas habían subido 39 habilidades maliciosas a ClawHub, SkillsMP y GitHub, con más de 2.200 habilidades maliciosas descubiertas finalmente solo en GitHub.

Esta campaña marca un claro cambio respecto a los métodos anteriores de distribución de AMOS e introduce una nueva forma de ataque a la cadena de suministro dirigida a flujos de trabajo de agentes de IA.

El ataque comienza con un archivo SKILL.md que parece completamente inofensivo. Indica al agente de IA que instale un falso requisito previo llamado “OpenClawCLI” desde un sitio web externo malicioso.

Cuando un modelo menos cauteloso como GPT-4o procesa la instrucción, instala la herramienta en silencio o solicita continuamente al usuario que instale manualmente el falso “controlador”.

Modelos más avanzados como Claude Opus 4.5 marcan la habilidad como sospechosa y se niegan a continuar.

Si el usuario o el agente de IA procede, se descarga y ejecuta un comando codificado en Base64, que despliega un binario universal Mach-O compatible con máquinas Mac basadas en Intel y Apple Silicon.

Cuando macOS rechaza el archivo sin firmar, aparece una ventana de diálogo falsa que engaña al usuario para que introduzca su contraseña del sistema, dando al malware exactamente el acceso que necesita para continuar.

Dentro de la cadena de infección

Una vez introducida la contraseña, AMOS comienza a recopilar datos de inmediato.

Obtiene el nombre de usuario y contraseña de la máquina, archivos de las carpetas Escritorio, Descargas y Documentos (incluyendo formatos como .pdf, .csv, .kdbx y .docx), credenciales del llavero de Apple y notas de Apple.

El malware también apunta a 19 navegadores para robar cookies, contraseñas y datos de tarjetas de crédito, y puede acceder a 150 carteras de criptomonedas.

Todos los datos recopilados se comprimen en un archivo ZIP y se suben a un servidor de comando y control (C&C) en socifiapp[.]com.

Se recomienda a los usuarios verificar la fuente de cualquier habilidad de OpenClaw antes de ejecutarla, evitar introducir contraseñas del sistema cuando se soliciten desde herramientas desconocidas, probar habilidades no validadas en un entorno aislado y usar contenedores para limitar la ejecución de agentes de IA.

Indicadores de compromiso (IoCs)