Una nueva campaña de malvertising está atacando activamente a usuarios de macOS en todo el mundo, distribuyendo una nueva variante del infostealer AMOS llamada “malext.”

Los atacantes están comprando anuncios en Google Search que redirigen a las víctimas hacia artículos falsos de ayuda en sitios web gratuitos de intercambio de texto, donde un comando de terminal engañoso instala silenciosamente el stealer en sus máquinas.

La campaña salió a la luz por primera vez cuando un usuario de macOS que buscaba en Google ayuda para limpiar el almacenamiento se topó con el primer resultado de búsqueda: una publicación falsa en Medium.

La publicación parecía legítima e incluía un comando de terminal listo para copiar y pegar como parte de la “solución.”

El usuario solo comenzó a sospechar cuando el dispositivo empezó a pedir la contraseña de administrador en bucle, escapando por poco de un compromiso total del sistema. Ese incidente abrió la puerta a una investigación más amplia.

Un entusiasta de la informática, Gi7w0rm, identificó el malware después de que el investigador @itspappy se pusiera en contacto con pruebas clave de la campaña. @itspappy había detectado malware para macOS propagándose mediante trucos estilo ClickFix vinculados a anuncios comprometidos de Google.

Usando la herramienta de Transparencia de Anuncios de Google, descubrieron más de 34 cadenas de ataque activas y más de 53 cuentas de Google Ads secuestradas utilizadas para difundir señuelos maliciosos.

La escala de la operación sugería la participación de un grupo criminal organizado más grande, probablemente una red de “Traffer”.

Además de Medium, los atacantes alojaron artículos falsos en Evernote, mssg.me y kimi.com —servicios que no requieren verificación de identidad para usarse.

Cada vez que se eliminaba un artículo malicioso, los atacantes lo reemplazaban de inmediato, demostrando una operación bien mantenida y persistente.

Estas páginas imitan guías de ayuda reales, dirigiendo a las víctimas a través de dos pasos que terminan en un comando de terminal dañino.

La carga final —“malext”— es una nueva variante de AMOS (Atomic macOS Stealer), nombrada así por el dominio C2 malext[.]com codificado en la muestra.

Una vez activa, recopila credenciales de navegadores, notas de Apple, cookies de Safari, datos de billeteras de criptomonedas, sesiones de Telegram y el llavero de macOS.

Luego, instala puertas traseras en las aplicaciones de billeteras Ledger y Trezor reemplazándolas con versiones troyanizadas, lo que otorga a los atacantes acceso prolongado a las finanzas de la víctima.

Dentro de la cadena de ataque: infección y persistencia

La infección comienza cuando un usuario pega el comando de terminal desde una página señuelo.

Al decodificar el código base64, se revela una solicitud curl que obtiene un script remoto con doble ofuscación: codificación Base64 y compresión gzip —una técnica poco común—. Una vez desempaquetado por completo, el comando real descarga un binario MachO en /tmp, elimina la bandera de cuarentena de Gatekeeper de macOS usando xattr -c y lo ejecuta sin mostrar advertencias al usuario.

Antes de ejecutar el stealer, el binario MachO —compilado para arquitecturas ARM y x86-64— realiza una verificación de detección de máquinas virtuales.

Esta verificación, ofuscada con un cifrado César, consulta system_profiler de macOS en busca de indicios de QEMU, VMware o KVM.

También busca indicadores de hardware típicos de entornos sandbox, como números de serie de placa falsos y procesadores inusualmente antiguos. Esto bloqueó con éxito la ejecución en todos los principales sandbox de macOS probados, incluyendo VirusTotal y Tria.ge.

Cuando no se detecta un sandbox, se ejecuta la carga principal de AppleScript de 59,444 caracteres. Oculta la ventana del terminal, recopila detalles del hardware y roba la contraseña de inicio de sesión de macOS usando un diálogo falso de instalación de ayuda si no encuentra credenciales almacenadas.

El stealer luego revisa perfiles de navegadores, billeteras de criptomonedas, el llavero de macOS, sesiones de Telegram y notas de Apple, comprimiendo todos los datos recopilados en un archivo zip. La exfiltración se dirige a 38.244.158[.]56, con 199.217.98.33 como respaldo.

Un archivo LaunchDaemon en com.finder.helper.plist instala una puerta trasera persistente que se reinicia en cada arranque.

Los usuarios de macOS nunca deben pegar comandos de terminal desde artículos en línea, sin importar lo útiles que parezcan. Mantén siempre activados Gatekeeper y la Protección de Integridad del Sistema, y ten precaución con cualquier resultado de búsqueda etiquetado como anuncio en Google.

Si sospechas de una infección, elimina inmediatamente los archivos ~/.pass, ~/.agent, ~/.mainhelper, ~/.username y la entrada LaunchDaemon com.finder.helper.plist, cambia todas las contraseñas guardadas en el navegador y reinstala las aplicaciones de billeteras de criptomonedas afectadas desde su fuente oficial.